티빙 보안관리 총체적 부실…활성·휴면·탈퇴 계정 모두 유출

중복 포함 3천954만개…개발키 평문 노출·접근권한 통제 부재이상징후 공유 14시간 걸려…모의해킹 취약점도 미조치 이미지 확대 티빙 3천954만 계정 왜 털렸나…접속키 관리 부실이 화근 (서울=연합뉴스) 한종찬 기자 = 온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 3일 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 조사 결과를 발표하고 있다. 2026.9.3 saba@yna.co.kr (서울=연합뉴스) 유현민 기자 = 온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정 등을 포함해 3천954만개 계정이 유출된 배경에는 개발환경 접속키 관리부터 접근권한 통제, 이상징후 탐지·보고, 취약점 개선까지 정보보호 관리체계 전반의 부실이 있었던 것으로 조사됐다. 개발·운영환경 접속키를 소스코드에 평문으로 노출하고 모든 개발자에게 전체 프로젝트 접근 권한을 부여한 데다, 모의해킹에서 확인된 취약점도 개선하지 않았으며 이상징후 발생 후 보안팀 공유와 침해사고 신고까지 지연된 것으로 나타났다. 과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하면서 "비활성 계정, 활성 계정, 테스트 계정 모두 유출된 것이 맞다"고 밝혔다. 조사 결과 외부로 유출된 계정은 중복을 포함해 총 3천954만개로 집계됐다. 로그인 가능한 활성 계정 2천206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 실제 이용자 수가 아닌 계정 수여서 한 사람이 여러 계정을 보유한 경우 중복 집계되며, 한 사람이 최대 13개 계정을 가진 사례도 확인됐다. 그러나 이번 사고에서 단순히 계정 수가 많았던 것만이 문제가 아니었다. 조사단은 티빙의 보안관리 체계 곳곳에서 기본적인 통제 장치가 제대로 작동하지 않았다고 판단했다. ◇ 개발키 평문 노출하고 모든 개발자에게 전체 프로젝트 권한 조사단에 따르면 티빙 개발자들은 개발·운영환경 접속키를 소스코드에 암호화하지 않은 채 그대로 노출하거나 사내 메신저 등을 통해 공유했다. 접근권한도 업무에 필요한 최소 범위로 제한하지 않고 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했다. 이 때문에 단 하나의 접속키가 탈취되더라도 모든 개발 프로젝트에 접근할 수...