티빙(TVING) 침해사고로 총 3954만개 계정의 개인정보가 유출된 것으로 밝혀졌다.
과학기술정보통신부(과기정통부)는 3일 이 같은 티빙 침해사고에 대한 민관합동조사단 조사결과를 발표했다.
조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개 , 테스트 계정 11만개 등 총 3954만개 계정(중복 포함)이 유출된 것을 확인했다. 이중 비활성화 계정은 1년 이상 미접속한 휴면 계정 850만개, 탈퇴계정 887만개로 구성됐다.
계정의 개인정보 외에 티빙에서 개발 중이던 프로젝트 361건(30.35GB 규모)가 함께 유출된 것으로 밝혀졌다. 이는 OTT(동영상스트리밍서비스) 티빙을 운영하기 위한 기술자산이다.
조사단은 유출된 티빙 3954만개 계정은 동일인이 다수 계정을 보유할 수 있는 구조로 중복이 포함돼 있다고 했다. 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례를 확인했다고 밝혔다.
또 가입 방식 기준으로 티빙 자체가입 726만개, CJ ONE(원) 통합회원 863만개, SNS(소셜미디어) 간편 가입 2247만개 등으로 확인됐다.
이번 침해 사고로 유출된 정보는 △ID △비밀번호(일방향 암호화) △CJ 원 통합ID △성명 △휴대전화 번호 △이메일 △생년월일을 비롯해 △개인 식별을 위한 연계정보(CI) 등 20개 항목(70종)이다.
유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태였지만, 암호화키가 함께 유출돼 복호화가 가능함에 따라 평문 유출 정보와 동일한 수준으로 판단했다는 설명이다. 다만 비밀번호는 복호화가 불가능한 상태여서 유출 정보에서 제외됐다.
특히 연계정보(CI) 보유 계정 1904만개(중복 제거시 1324만개 계정)의 경우 평균 11.1개 항목(17.6종)이 유출돼 더 많은 정보가 유출됐다. CI 미보유 계정(2040만개)이 평균 4.6개 항목(5.9종)이 유출된 것보다 많다.
CI 미보유 계정은 본인인증 절차를 거치지 않은 계정이어서 정보가 누락되거나, 유효하지 않은 부정확한 데이터도 많았다.
현재까지 이용자 2차 피해 사례는 확인된 바 없고 다크웹을 통한 불법 거래 및 유통 정황도 탐지되지 않았다.
독자들의 PICK!
조사단은 유출 경로를 ①개발환경 침투, ②운영환경 접근 및 관리권한이 부여된 '운영환경 접속키' 탈취, ③운영환경 침투, ④1차 유출 시도, ⑤2차 유출 시도 및 대규모 정보유출 등 5단계로 구분했다.
먼저 공격자는 개발자가 보유하고 있는 '개발환경 접속키'를 사전 탈취해, 티빙 개발환경에 무단 접속했다. 이후 해당 키를 악용해 프로젝트 361건 전체를 유출했다.
공격자는 이후 유출된 프로젝트 내 소스코드에 저장된 티빙 운영 환경에 침투할 수 있는 '운영환경 접속키'를 확보해 운영환경 내부에 접근했다.
이 과정에서 이용자 정보가 저장된 데이터베이스(DB)에 접근할 수 있는 접속정보(ID, PW)가 암호화되지 않고 평문으로 저장된 것을 확인하고, 이를 탈취한 것으로 조사됐다.
