과학기술정보통신부는 올해 5월말 발생한 티빙의 정보유출 사고를 조사한 결과 2024년 모의 실험에서 보안 취약점을 파악하고도 해킹에 대비하지 않았다고 밝혔다. 티빙 내부의 키 관리부실과 비정상 행위 대응 체계 부재, 정보보호 체계 미흡에 따른 사고라는 게 당국의 결론이다. 티빙 측이 개인정보 침해 사실을 알고도 당국에 제 때 알리지 않았다는 점도 지적됐다.
과기정통부는 3일 오후 서울 세종대로 정부서울청사에서 이같은 내용을 포함한 티빙 침해사고 조사결과를 발표했다. 정부는 이번 사고를 분석한 뒤 크게 △키 관리체계 미비 △비정상 행위 탐지·대응 및 모니터링 체계부재 △정보보호 거버넌스(구조) 미흡 △정보보호 활동 △침해사고 신고 지연 등 문제점을 지적했다.
발표에 따르면 티빙 측은 2024년 모의해킹을 통해 '개발·운영환경 접속키'를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하는 취약점을 발견했지만 이를 개선하지 않은 것으로 드러났다. 선별적 저장·관리로 인해 신규 장비(VPN)에는 시스템 로그관리 정책이 제대로 적용되지 않아 6일정도의 접속 기록만 보관하고 있었다. 업무용 PC 대상 백신 소프트웨어(SW) 설치 및 최신버전 관리 등 정기적 보안점검이 미흡한 사실도 이번 조사에서 드러났다.
조사단은 티빙이 키 관리체계를 잘 정비했다면 해커가 개발환경에 접근하는 것을 차단할 수 있었으며 운영환경에 접속하지 못 했을 것이라고 판단했다. 2024년 발견한 소스코드의 취약점은 물론 접속키를 암호화 없이 평문으로 저장하고 사내 메신저 등을 통해 타인과 무분별하게 공유한 것으로 드러났다. 접근권한은 필요최소한으로 부여해야 함에도 모든 개발자가 전체 개발프로젝트에 접근할 수 있는 권한을 부여받았다는 게 조사단의 설명이다.
아울러 티빙 측은 해커의 비정상 공격행위를 탐지·대응하지 못한 것으로 조사됐다. CPU(중앙처리장치) 부하 등 단순 모니터링에만 의존하고 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재해 피해를 키웠다는 설명이다. 개발 인력 149명 포함 전체 임직원 265명 가운데 정보보호 전담인력은 4명 내외에 불과해 정보보호 활동 수행에 무리가 있던 점도 지적됐다.
이밖에 과기정통부는 침해사고 인지 후 24시간 내에 당국에 신고해야한다는 정보통신망법 규정에도 불구하고 티빙 측이 상황을 파악한 시점으로 부터 24시간이 지난 후 KISA(한국인터넷진흥원)에 신고한 점을 들어 3000만원 이하의 과태료를 부과할 방침이다.
한편 티빙은 지난 5월말 데이터베이스(DB) 서버의 작업량 과다로 인해 시스템 과부하 현상을 분석하는 과정에서 정보침해 사실을 파악하고 이를 당국에 신고했다. 과기정통부와 KISA는 6월2일 현장조사에 착수, 민관합동 조사단을 꾸려 3개월 간 침해사고를 조사했다. 조사결과 티빙에서 △로그인이 가능한 활성화 계정 2206만개 △비활성화 계정 1737만개 △테스트계정 11만개 등 중복 포함 총 3954만개 계정이 유출된 것으로 나타났다.
