티빙 3천954만 계정 왜 털렸나…접속키 관리 부실이 화근(종합)

소스코드 등 기술자산 361건 유출…복호화 가능해 사실상 평문 노출개발자 접속키 탈취해 침투…신고 지연에 최대 3천만원 과태료 이미지 확대 티빙 [티빙 제공. 재판매 및 DB 금지] (서울=연합뉴스) 권하영 기자 = 온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 조사단은 로그인 가능한 활성화 계정 2천206만 개, 비활성화 계정(휴면·탈퇴) 1천737만 개, 테스트 계정 11만 개 등 총 3천954만 개의 계정이 유출됐음을 확인했다. 이 중 동일인이 최대 13개 계정을 보유한 사례가 확인되는 등 중복이 다수 포함돼 있다. 가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜네트워크서비스(SNS) 간편가입 2천247만 개, CJ ONE 통합회원 863만 개, 티빙 자체가입 726만 개 등이다. 유출된 항목은 유출된 항목은 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 일방향 암호화 상태로 복호화가 불가능하나, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준으로 판단됐다. CI 보유 여부에 따라 정보 유출 규모도 달라, 보유 계정 1천904만 개는 평균 11.1개 항목(17.6종), 미보유 계정 2천40만 개는 평균 4.6개 항목(5.9종)이 유출됐다. 개인정보 세부 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다. 기술자산 피해와 관련해서는 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 빠져나갔다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술 자산이 망라됐다. ◇ 접속키 탈취로 5단계 침투…키 관리 총체적 부실 조사단은 공격자가 5월 29일부터 31일에 걸쳐 개발자의 '개발환경 접속키'를 사전에 탈취한 뒤 개발환경에 무단 접속해 프로젝트를 유출한 것으로 파악했다. 소스코드 내에 저장된 '운영환경 접속키' 43개를 추가 확보해 운영환경(아마존웹서비스·AWS)까지 침투한 것으로 파악했다. 공격자는 5월 30일 1차 정보유출을 시도했으나 DB 서버 과부하로 이상징후 알림이 발생해 티빙...