국내 온라인동영상서비스(OTT) 플랫폼 티빙이 해킹 공격 과정에서 발생한 이상징후를 단순한 시스템 과부하로 판단해 추가 대응에 나서지 못한 것과 2024년 확인된 보안 취약점을 개선하지 않은 데 대해 보안 관리가 미흡했다고 인정했다.
3일 오후 서울 중구 코리아나호텔에서 ‘티빙 사이버 침해 사고 관련 공식 사과 및 설명회’가 열렸다. 사고 발생 약 3개월 만에 마련된 공개석상 사과 자리에는 최주희 티빙 대표이사를 비롯한 주요 경영진이 참석했다.
과학기술정보통신부 민관합동조사단은 같은 날 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사 결과 로그인이 가능한 활성화 계정 2206만 개와 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 중복을 포함해 총 3954만 개의 계정 정보가 유출된 것으로 확인됐다.
조사단은 접속키 관리 체계 미비와 비정상 행위 탐지·대응 체계 부재, 정보보호 거버넌스 미흡 등을 주요 문제로 지적했다. 특히 티빙이 2024년 모의해킹을 통해 개발·운영환경 접속키가 소스코드에 노출되는 취약점을 확인하고도 이를 개선하지 않은 사실이 드러났다.
이번 사고는 공격자가 티빙 개발자의 ‘개발환경 접속키’를 탈취하면서 시작됐다. 공격자는 지난 5월 29일 이를 이용해 개발환경에 침투한 뒤 개발 프로젝트를 유출했다. 이후 소스코드에 노출돼 있던 ‘운영환경 접속키’를 확보해 실제 운영환경에 침투하고, 이용자 정보가 저장된 데이터베이스(DB)의 접속정보까지 탈취했다.
공격자는 5월 30일 이용자 정보 조회와 유출을 시도했다. 이 과정에서 과도한 작업량으로 DB 서버의 중앙처리장치(CPU) 이용률이 100%까지 치솟아 이상징후 알림이 발생했고, 티빙은 이를 확인한 뒤 해당 정보 유출 작업을 차단했다.
그러나 공격자는 이튿날 운영환경 내부에 가상서버를 생성해 DB에 저장된 이용자 정보 24GB를 일괄 저장한 뒤 외부 서버로 전송했다. 이후 공격 흔적을 지우기 위해 해당 가상서버를 삭제한 것으로 조사됐다.
2차 공격에서는 1차 시도와 달리 DB 서버의 작업량 과다에 따른 이상징후 알림이 발생하지 않았다. 조사단은 유출된 정보가 해외 계정으로 전송된 사실까지 확인했다. 정확한 국가와 서버 위치, 해당 서버에 유출 정보가 남아 있는지는 현재 경찰이 수사하고 있다.
피해가 확대된 배경으로는 티빙의 미흡한 보안 관리와 초기 대응이 지적됐다. 티빙은 1차 유출 시도를 해킹으로 인지하지 못한 채 단순한 시스템 과부하로 판단해, 정보 유출 작업 차단 외에 별도의 추가 대응에 나서지 않은 것으로 조사됐다.
무엇보다 2024년 모의해킹에서 관련 취약점을 확인하고도 개선 조치를 하지 않은 사실이 드러났다. 이에 대해 조성대 네트워크기술본부장은 “2024년과 2025년에도 모의해킹을 통해 보안을 강화했지만, 내·외부의 다양한 자산에 일관된 보안 조치를 적용하는 데 미흡했다”며 “전수조사를 거쳐 보안 조치를 강화했고, 같은 사태가 재발하지 않도록 최선을 다하겠다”고 사과했다.
이어 “유출된 소스코드가 악용돼 발생할 수 있는 피해를 최소화하기 위해 노력하고 있다”며 “AI를 통해 취약점을 분석하고 있으며, 대응 방안을 지속적으로 보완하고 있다”고 덧붙였다.
[태평로(서울)=금빛나 MK스포츠 기자]