【 청년일보 】 온라인동영상서비스(OTT) 티빙에서 무려 3천954만 개에 달하는 계정 정보가 유출된 대형 사고의 배경에는 시스템 설계부터 사고 대응에 이르기까지 정보보호 관리체계 전반의 총체적 부실이 자리 잡고 있었던 것으로 확인됐다.

 

단순한 외부 해킹 공격의 결과라기보다는 사전에 감지된 취약점마저 외면하고 기본적 보안 수칙을 저버린 '예고된 인재'라는 평가가 나온다.

 

과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하며 활성·비활성·테스트 계정 전반에 걸쳐 개인정보가 대규모로 유출됐다고 밝혔다.

 

조사 결과 누출된 계정은 중복을 포함해 총 3천954만 개다.

 

세부적으로는 로그인 및 이용이 가능한 활성 계정이 2천206만 개, 휴면 계정 850만 개, 탈퇴 계정 887만 개, 테스트 계정 11만 개로 파악됐다.

 

한 명의 이용자가 최대 13개 계정을 보유한 사례가 확인되는 등 복수 계정이 포함됐으며, 유출된 정보는 성명, 아이디, 휴대전화번호, 이메일, 생년월일, 연계정보(CI) 등 20개 항목 70개 유형에 이른다.

 

조사 결과 티빙은 개발 및 운영환경 접속키를 암호화하지 않은 평문 상태로 소스코드에 삽입하거나 사내 메신저를 통해 공유하는 등 치명적인 보안 허점을 노출했다.

 

최우선적으로 통제해야 할 시스템 접근 권한 역시 특정 업무 범위로 최소화하지 않고 전 개발자에게 프로젝트 전체 접근권을 부여했다.

 

이에 따라 접속키 단 하나만 탈취돼도 전체 시스템이 위험에 노출되는 구조가 형성됐다.

 

나아가 티빙은 2024년 모의해킹 과정에서 접속키가 소스코드에 평문 노출된 취약점을 파악하고도 이를 보완하지 않은 채 방치했던 것으로 드러났다.

 

비상 상황 발생 이후의 대응과 보안 관제 인프라 역시 제 기능을 못 했다.

 

티빙은 단순 시스템 모니터링에만 의존했을 뿐 네트워크와 데이터 흐름을 실시간 통제하는 체계를 구축하지 않았고, 신규 장비 로그 보관 기간이 약 6일에 불과하는 등 기록 관리도 소홀했다.

 

임직원 265명 중 개발 인력은 149명에 달했으나 정보보호 전담 인력은 4명 내외에 그쳐 상시 관제가 불가능한 구조였다.

 

이상징후 포착 후 정보보호 전담 조직에 공유되기까지 약 14시간이 소요되자, 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장은 "인적 대응체계와 내부 보고 경로 모두에서 심각한 결함이 발견됐다"고 지적했다.

 

티빙은 침해사고 전파 후 법정 신고 시한인 24시간을 넘겨, 5월 31일 오전 10시 10분 상황 인지 후 하루가 지난 6월 1일 오후 3시 8분에야 KISA에 신고했다.

 

과기정통부는 정보통신망법에 따라 3천만 원 이하의 과태료를 부과할 계획이며, 재발방지 대책 이행계획을 제출받아 보완 사항에 대해 시정조치 명령을 내릴 방침이다.

 

플랫폼의 외형적 성장 뒤에 가려진 보안 경각심 부재가 대규모 고객 정보 유출로 이어진 만큼, 향후 기업의 보안 투자와 관리 책임제 강화에 대한 목소리가 더욱 높아질 전망이다.

 

 

【 청년일보=안정훈 기자 】