티빙, 개인정보 유출 사고 조사결과 발표…“3954만 전 계정 탈취”

[IT동아 김예지 가지] 과학기술정보통신부(과기정통부)가 지난 5월 30일 발생한 OTT 플랫폼 티빙(TVING)의 침해사고에 대한 민관합동조사단의 조사 결과를 3일 발표했다. 이번 사고는 해커가 티빙 개발자의 접속키를 탈취해 내부 시스템에 침투하면서 발생했으며, 티빙 전체에 해당하는 3954만 개 계정 정보가 유출된 것으로 조사됐다. 티빙은 같은 날 서울 광화문 코리아나호텔에서 설명회를 열고 피해 고객 보상안과 중장기 정보보호 혁신 방안을 공개했다. 티빙은 안심보험 패키지 및 시청환경 개선 쿠폰 지급을 포함해, 오는 2030년까지 정보보호 투자액을 직전 5년 대비 약 4배로 늘리고, 보안 전문인력을 5년 내 3배 수준으로 확충하겠다고 밝혔다. 임정규 과학기술정보통신부 정보보호네트워크정책관 / 출처=e브리핑 석 달간 정밀 포렌식, 결과는 앞서 티빙은 데이터베이스(DB) 서버 과부하 원인을 점검하던 중, 비인가자의 무단 접근 및 정보 조회 정황을 포착하고 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 이에 조사단은 석 달여간 개발자 단말기 9대에 대한 디지털 포렌식과 정보보호 관리체계 점검을 병행했다. 조사 결과 유출된 계정은 총 3954만 개로 집계됐다. 구체적으로 ▲로그인 가능한 활성화 계정 2206만 개 ▲휴면·탈퇴 등 비활성화 계정 1737만 개(휴면 850만, 탈퇴 887만) ▲테스트 계정 11만 개다. 가입 경로별로는 ▲티빙 자체가입 726만 개 ▲CJ ONE 통합회원 863만 개 ▲SNS 간편가입(네이버·카카오·페이스북·애플·X 등) 2247만 개 ▲기타 118만 개로 파악됐다. 이는 알려진 피해 규모 1954만 명을 웃도는 수치다. 티빙이 개인정보보호위원회(개인정보위)에 제출했던 초기 신고치는 중복을 제거하고 산정한 수치로, 집계 방식과 시점이 달랐다. 티빙은 가입 경로 간 중복 필터링 시스템이 미비해, 단일 이용자가 최대 13개의 계정을 보유한 사례도 확인됐다. 계정 유형에 따라 유출된 정보의 범위도 달랐다. 본인인증 과정에서 생성되는 연계정보(CI)를 보유한 계정은 미보유 계정보다 평균 11.1개 항목(17.6종)의 정보가 더 유출됐다. 조사단이 CI가 존재하는 계정 1904만 개를 대상으로 중복을 제거한 결과 실제 이용자는 1324만 명으로 축소되어, 약 580만 개가 중복 계정인 것으로 파악됐다. 그러나 CI가 없는 2,040만 개 계정은 중복 여부를 확인할 수 없어 정확한 개...