올해 5월 발생한 티빙(TVING) 침해사고로 총 3954만개 계정의 개인정보가 유출된 것으로 밝혀졌다. 티빙의 전체 가입자 정보가 빠져나간 것이다. 티빙은 사고가 발생한 지 3개월여 만에 최주희 대표가 직접 나서 대국민 사과를 하고 5000원 상당의 포인트와 관련 사고에 대한 1년간 보험제공 등 보상안을 발표했다.
과학기술정보통신부는 3일 오후 정부서울청사에서 티빙 침해사고에 대한 민관합동조사단 조사결과를 이같이 발표했다.
조사결과 △활성화 계정 2206만개 △비활성화 계정 1737만개(휴면 850만개·탈퇴 887만개) △테스트 계정 11만개 총 3954만개 계정(중복 포함)이 유출됐다. 티빙에서 개발하던 프로젝트 361건(30.35GB 규모)도 함께 유출됐다. 조사단은 유출된 정보가 해외 계정으로 전송된 사실을 확인했다. 다만 아직 2차 피해는 확인되지 않았다.
이번 침해사고의 피해규모가 큰 요인 중 하나로 상대적으로 가입이 쉬운 구조가 꼽힌다. 티빙은 가입자 1명이 최대 13개 계정을 보유할 정도로 중복 계정이 많았다. CJ ONE(원) 외에 △네이버 △카카오 △X △애플 △페이스북 등 SNS(소셜미디어)를 통한 간편가입이 가능해서다. 실제 티빙 자체가입 계정은 726만개로 유출된 계정 수의 18%였고 나머지 유출 계정은 CJ원 통합회원(863만개)과 SNS 간편가입(2247만개)으로 생성된 것이 대다수였다.
공격자는 접속키를 이용해 개인정보를 탈취한 것으로 드러났다. 경찰은 이번 사고의 공격자를 파악하기 위해 수사 중이다. 티빙은 2024년 '개발·운영환경 접속키'가 그대로 노출되는 취약점을 발견하고도 개선하지 않은 것으로 조사됐다.
아울러 침해사고 발견시 24시간 이내 당국에 신고해야 한다는 정보통신망법 위반 사실도 조사에서 드러났다. 조사단은 정보유출이 의심된 상황이 정보보안팀에 전파된 5월31일 오전 10시10분이라고 봤다. 한국인터넷진흥원(KISA) 신고 시점은 6월1일 오후 3시8분으로 24시간이 지난 시점이다. 당국은 이에 따라 티빙에 3000만원 이하 과태료를 부과할 방침이다.
한편 티빙은 조사결과 발표 직후 서울 중구 코리아나호텔에서 대국민 사과와 고객보상안 및 중장기 정보보호 강화방안을 내놨다. 최 대표는 "이번 침해사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"며 고개를 숙였다.
티빙이 발표한 고객보상 패키지는 해킹·피싱 안심보험과 프리미엄급 시청환경 업그레이드, 티빙 포인트, 엔터테인먼트 쿠폰으로 구성했다. 또 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 늘리고 보안 전문인력도 현재의 3배로 확충하겠다고 밝혔다.