최주희 티빙 대표 “3954만 계정 유출 사과”…2년 전 취약점 방치

사진=김영호 기자 rladudgh2349@donga.com 최주희 티빙(TIVING) 대표가 해킹으로 이용자 계정 3954만 개와 소스코드가 포함된 기술자산 361건이 유출된 데 대해 공식 사과했다. 과기정통부 조사에서는 2024년 모의해킹에서 확인된 보안 취약점이 개선되지 않은 채 남아 있었고, 침해사고 신고도 법정 기한을 넘긴 것으로 드러났다.최 대표는 3일 오후 서울 중구 코리아나호텔에서 ‘사이버 침해사고 관련 설명회’를 열고 “이번 침해사고로 인해 고객 여러분께 큰 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “티빙을 믿고 이용해주신 고객 여러분께 진심으로 머리 숙여 사과드린다”고 말했다.● 2024년 취약점이 그대로…성명·휴대전화·이메일 등 유출 임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. 기술자산 소코드가 포함된 티빙 개발 프로젝트 361건이 유출된 것으로 파악됐다. 뉴스1 과학기술정보통신부 민관합동조사단은 이날 정부서울청사에서 브리핑을 열고 티빙에서 총 3954만 개 계정의 개인정보가 유출됐다고 밝혔다.다만 이는 실제 이용자 수가 아닌 중복을 포함한 계정 수다. 로그인이 가능한 활성 계정 2206만 개, 휴면·탈퇴 계정 1737만 개, 테스트 계정 11만 개 등이 포함됐다.유출된 정보는 성명·생년월일·휴대전화번호·이메일주소·연계정보(CI) 등 20개 항목, 총 70종이다.공격은 개발자가 사용하는 개발환경 접속키가 탈취되면서 시작됐다. 신원 미상의 공격자는 지난 5월 29일 탈취한 접속키를 이용해 티빙 개발환경에 침투했다. 이 과정에서 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB의 기술자산을 빼낸 것으로 조사됐다. 과기정통부 제공. 뉴스1 조사단은 해당 접속키가 하드코딩(소스 코드에 데이터를 직접 입력하는 방식)된 상태로 개발 서버에 노출돼 있었다고 지적했다. 또한 접속키 관리와 접근권한 통제도 제대로 이뤄지지 않은 것으로 드러났다.특히 2024년 모의해킹에서 소스코드 내 접속키 노출 취약점이 확인됐지만 이후 개선되지 않은 사실도 드러났다.티빙 관계자는 “당시 조사에는 해당 프로젝트가 포함되지 않았고 이후 서비스 개편 과정에서 접속키를 사용하는 프로젝트를 인계받아 개선 작업을 진행하던 중 공격을 받았다”고 설명했다.신고도 늦었다. 티빙은 지난 5월 31일 오전 10시 10분경 사고를 인지했...