티빙 계정 3954만개 유출…보고치 2배, 접속키 평문 관리가 화근

티빙 계정 3954만개는 어떻게 통째로 빠져나갔나?

과학기술정보통신부 민관합동조사단이 9월 3일 티빙 침해사고 조사 결과를 내놨다. 유출된 계정은 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개를 합쳐 3954만개다. 티빙이 국회에 보고했던 추산치 약 1953만명의 두 배에 이르는 규모다. 비밀번호와 환불 계좌번호, 연계정보(CI)까지 70종의 개인정보와 소스코드 361건이 함께 빠져나갔다. 조사단은 접속키를 소스코드에 평문으로 방치한 관리 부실이 피해를 키웠다고 결론지었다.

tving-39-million-accounts-breach-infographic

사고는 언제, 어떤 경로로 벌어졌나?

공격은 지난 5월 29일부터 31일까지 사흘에 걸쳐 진행됐다. 공격자는 사전에 탈취한 개발자 접속키로 개발환경에 무단 접속해 소스코드가 담긴 개발 프로젝트 361건, 약 30.35GB를 먼저 빼냈다. 소스코드 안에는 운영환경 접속키 43개가 그대로 적혀 있었고, 공격자는 이 가운데 2개를 이용해 아마존웹서비스(AWS) 기반 운영환경까지 들어갔다.

5월 30일 첫 유출 시도는 티빙이 이상징후를 감지해 차단했다. 그러나 다음 날 공격자는 운영환경에 가상 서버를 새로 만들어 이용자 정보 24GB를 일괄 저장한 뒤 외부 서버로 전송했고, 곧바로 가상 서버를 삭제해 흔적을 지웠다. 조사단은 개발자 단말기를 포렌식으로 분석했지만 접속키가 처음 새어 나간 경로와 공격자 신원은 밝혀내지 못했다. 경찰 수사는 진행 중이다.

The attack unfolded over three days in late May. A stolen developer key opened the dev environment, hardcoded production keys in the source code opened AWS, and a temporary virtual server exfiltrated 24GB before being deleted.

조사단이 지목한 근본 원인은 무엇인가?

조사단은 사고의 원인을 외부 공격의 정교함보다 내부 관리의 허술함에서 찾았다. 티빙은 운영환경 접속키를 별도 저장소에 분리 보관하지 않고 소스코드에 그대로 노출한 채 사용했다. 개발환경 설정값인 환경변수도 암호화하지 않았고, 이용자 정보가 담긴 데이터베이스 접속 아이디와 비밀번호까지 평문으로 저장했다.

접근권한 관리도 문제였다. 모든 개발자에게 전체 프로젝트 접근권한이 열려 있었고, 이상행위를 실시간으로 탐지하고 차단하는 체계는 미흡했다. 더 뼈아픈 대목은 사전 경고를 흘려보냈다는 점이다. 티빙은 2024년 모의해킹에서 접속키 하드코딩 취약점을 이미 확인했지만 개선하지 않았다. 전체 인력 411명 가운데 정보보호 전담 인력은 외주를 빼면 4명 안팎에 그쳤다.

휴대전화번호와 이메일 주소는 암호화돼 있었으나 암호화키가 함께 유출돼 복호화가 가능한 상태였다. 조사단은 이를 사실상 평문 유출로 판단했다. 세부 유출 규모와 항목은 개인정보보호위원회가 별도로 확정한다.

Investigators blamed weak internal controls rather than a sophisticated attacker: production keys hardcoded in source, unencrypted environment variables and DB credentials, blanket developer access, a 2024 pentest warning left unfixed, and only about four dedicated security staff.

숫자로 본 피해 규모는 어느 정도인가?

유출 계정 3954만개는 티빙이 보유한 회원 계정 전부에 해당한다. 다만 한 사람이 여러 계정을 만들 수 있는 구조여서 중복이 섞여 있다. 연계정보(CI)를 보유한 1904만개 계정을 분석한 결과 약 580만개가 중복으로 확인됐고, 중복을 제거하면 실명 확인 가능한 피해자는 1324만명 수준이다. 지난해 KT 개인정보 유출 사고의 보상 쿠폰을 통해 유입된 이용자 정보 52만7000건도 별도로 유출됐다.

유출 항목은 아이디·이름·생년월일 같은 기본 정보부터 비밀번호, 환불 계좌번호, CI·DI 연계인증정보까지 최대 70종이다. CI 보유 계정은 평균 11개 항목이 빠져나갔다. 기술 자산 유출은 361건, 30.35GB 규모이며 핵심 지식재산과 인증 정보가 포함돼 2차 공격에 악용될 위험이 크다.

과징금은 개정 개인정보보호법에 따라 전체 매출액의 3% 이하까지 부과할 수 있다. 티빙의 지난해 매출 4059억원을 기준으로 하면 법정 상한은 약 121억원이지만, 과거 감경 사례를 적용하면 48억원 안팎으로 낮아질 수 있다는 관측도 있다. 비교 대상인 SK텔레콤 유심 해킹 사고에는 2324만명 유출로 역대 최대인 1348억원의 과징금이 부과됐고, SK텔레콤은 이에 불복해 행정소송을 진행 중이다.

All 39.54 million accounts were exposed, though de-duplication puts identifiable victims near 13.24 million. Up to 70 data fields leaked. A fine of up to 3% of revenue is possible, against the backdrop of SK Telecom's record 134.8 billion won penalty.

티빙의 재발 방지 대책은 신뢰를 되찾을 수 있나?

최주희 티빙 대표는 3일 서울 광화문에서 설명회를 열고 "조사 결과를 수용하고 재발 방지 대책을 책임 있게 이행해 고객 신뢰를 회복하겠다"며 고개를 숙였다. 티빙은 2030년까지 정보보호 투자를 직전 5년 대비 4배, 전문 인력을 3배로 늘리겠다고 밝혔다. 보안 조직은 프로덕트·클라우드·전사 IT·컴플라이언스 네 갈래로 세분화하고, 제로트러스트 기반 보안 체계 구축과 외부 협력 강화를 4대 전략에 담았다.

고객 보상은 1년간 제공되는 해킹·피싱 안심보험이 핵심이다. 사이버 금융사기는 물론 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만원을 보장한다. 여기에 5000원 상당의 티빙 포인트나 웨이브 AVOD 1개월 이용권, CGV 할인권 가운데 하나를 고를 수 있으며, 신청은 9월 7일부터 30일까지 받는다.

관건은 개인정보보호위원회의 제재 수위와 집단소송 가능성이다. 비밀번호와 환불 계좌까지 유출된 만큼 피싱과 계정 도용 같은 2차 피해가 현실화되면 보상 비용은 보험 한도를 넘어 눈덩이처럼 불어날 수 있다. 네이버와의 멤버십 연동, 웨이브와의 합병으로 외형을 키워온 티빙으로서는 이번 사고가 수익성 개선의 발목을 잡을 가장 큰 변수가 됐다.

TVING pledged to quadruple security spending and triple staff by 2030, with a zero-trust overhaul and a compensation package led by a one-year cyber-fraud insurance covering up to 3 million won per user. Regulatory fines and possible class actions remain the key risks.

자주 묻는 질문

Q. 내 티빙 계정도 유출됐나?

조사단은 티빙이 보유한 활성·휴면·탈퇴 계정 전부가 유출됐다고 밝혔다. 한 번이라도 티빙에 가입한 적이 있다면 유출 대상에 포함됐다고 보는 것이 안전하다. 티빙 앱과 홈페이지에서 개별 유출 항목을 조회할 수 있다.

Q. 당장 무엇을 해야 하나?

티빙 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 함께 변경해야 한다. 휴대전화번호와 이메일이 복호화 가능한 상태로 유출된 만큼 티빙을 사칭한 문자·이메일 피싱에 특히 주의해야 한다.

Q. 보상은 어떻게 받나?

9월 7일부터 30일까지 티빙 앱에서 신청하면 10월 6일부터 적용된다. 1년간 최대 300만원을 보장하는 안심보험과 함께 5000원 상당의 포인트·이용권·할인권 가운데 하나를 선택할 수 있다.

Q. 과징금은 얼마나 나올까?

개정법상 전체 매출액의 3% 이하가 상한이다. 티빙 지난해 매출 기준 최대 약 121억원이며, 감경 요소를 적용하면 48억원 안팎이 될 수 있다는 관측이 나온다. 최종 규모는 개인정보보호위원회가 유출 항목을 확정한 뒤 결정한다.