티빙 계정 3954만개 개인정보가 유출됐어요. 🔓

지난 6월 발생한 티빙 개인정보 유출 사고의 피해 규모가 오늘(3일) 공식 확인됐어요. 과학기술정보통신부 민관합동조사단이 조사 결과를 발표했는데, 유출된 계정이 3954만개에 달하고 추천·검색 알고리즘 같은 핵심 기술자산까지 빠져나간 것으로 드러났어요.

얼마나 털렸어? 🗂️

유출된 계정은 총 3954만개예요. 로그인이 가능한 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개가 포함됐어요. 다만 동일인이 여러 계정을 보유할 수 있어서 3954만 명이 피해를 봤다는 의미는 아니라고. 조사 과정에서 한 사람이 최대 13개 계정을 가진 사례도 확인됐대요.

유출된 정보는 이름, 휴대전화번호, 아이디, 비밀번호, 생년월일, 연계정보(CI), 결제 이력 등 20개 항목(70종)이에요. 비밀번호는 복호화가 불가능한 일방향 암호화 상태였지만, 휴대전화번호와 이메일 주소는 암호화 키까지 함께 유출돼 사실상 평문 그대로 노출된 것과 같은 수준으로 판단됐어요.

계정 정보만 털린 게 아니에요. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘 등 기술자산이 담긴 개발 프로젝트 361건(30.35GB 규모)도 함께 빠져나갔어요.

어떻게 뚫린 거야? 🔑

해커는 사전에 탈취한 개발환경 접속키를 이용해 티빙 내부 시스템에 무단으로 침투했어요. 문제는 소스코드 안에 아마존웹서비스(AWS) 운영환경 접속키 43개가 암호화 없이 그대로 저장돼 있었다는 거예요. 해커는 이 중 2개를 활용해 이용자 정보가 담긴 데이터베이스에 접근했어요.

티빙은 이미 이 취약점을 알고 있었어요. 2024년 모의해킹에서 소스코드에 접속키를 그대로 적어두는 취약점을 발견하고도 개선하지 않았다고. 조사단은 이 밖에도 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여하고, 네트워크와 데이터 흐름을 실시간으로 탐지하는 보호 체계가 없었다는 점도 문제로 꼽았어요.

티빙, 제때 신고도 안 했어?

티빙은 5월 31일 오전 10시 10분에 침해 사실을 인지했지만, 한국인터넷진흥원(KISA)에는 6월 1일 오후 3시 8분에 신고했어요. 인지 시점으로부터 24시간이 넘은 뒤 신고한 거예요. 과기정통부는 정보통신망법 위반에 따라 최대 3000만 원의 과태료를 부과할 예정이에요.

과기정통부는 티빙에 이달까지 재발 방지 이행 계획을 제출하도록 요구했고, 내년 1월부터 이행 상황 점검에 나설 계획이에요. 실제 개인정보 유출 인원과 세부 규모는 개인정보보호위원회가 추후 확정할 예정이라고.

*이 아티클은 뉴닉 편집 매뉴얼을 학습한 AI가 작성했어요. 뉴닉은 더 좋은 콘텐츠를 발행하기 위한 방식을 고민하며 실험 중이에요. 오류는 고객센터로 제보해 주세요.