티빙 개인정보 3954만 계정 유출: 해킹 원인부터 보상 신청 방법까지 😵

3일 과학기술정보통신부(과기정통부)가 정부와 민간 전문가가 함께 꾸린 민관합동조사단의 티빙 침해사고 조사 결과를 발표했어요. 활성 계정부터 휴면·탈퇴 계정까지 총 3954만 개의 계정 정보가 유출된 것으로 확인됐는데요. 개발자 접속키 하나가 탈취되면서 운영 서버 전체가 뚫린 것으로 드러났고, 보안 관리 부실이 사고를 키운 것으로 조사됐어요.

티빙 해킹, 무슨 일이었어? 🔍

앞서 티빙은 지난 6월 이용자 개인정보를 저장하는 데이터베이스(DB)에 허가받지 않은 접근이 이뤄진 정황을 확인했다고 밝혔어요. 정부는 민관합동조사단을 꾸려 조사에 들어간 뒤, 이번에 최종 결과를 발표했어요.

조사 결과, 로그인 가능한 활성 계정 2206만 개, 휴면·탈퇴 계정 1737만 개, 테스트 계정 11만 개 등 티빙의 모든 계정이 유출됐어요. 소스코드가 포함된 기술 자산 361건(30.35GB)도 빠져나갔고요. 유출된 정보 항목은 아이디, 성명, 휴대전화번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종인데요. 비밀번호는 복호화가 불가능한 방식으로 암호화돼 있었지만, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출된 것으로 판단됐어요.

왜 이렇게 됐어? 🔑

해커는 여러 단계를 거쳐 내부 시스템을 뚫었어요.

• 개발자 접속키 탈취: 5월 29일 오후 2시 42분, 해커는 사전에 탈취한 개발자 접속키로 개발환경에 무단 접속해 개발 프로젝트 361건을 통째로 유출했어요.
• 2차 우회 유출: 5월 30일 1차 유출 시도는 DB 서버 과부하로 차단됐지만, 해커는 다음 날 내부에 가상서버를 새로 만들어 이용자 정보 24GB를 외부 서버로 빼냈어요.

조사단은 보안 관리 부실도 지적했어요. 티빙은 접속키를 별도 저장 공간에 보관하지 않고, 소스코드 내부에 숨김없이 그대로 노출(=하드코딩)한 채 사용한 것으로 알려졌는데요. 전체 임직원 265명 중 외주를 제외한 정보보호 전담인력은 4명 내외에 불과했다고.

앞으로 어떻게 될까? ⚖️

과기정통부는 티빙이 사고를 인지하고도 24시간이 지난 뒤 신고했다고 판단해, 정보통신망법에 따라 최대 3000만 원의 과태료를 부과할 예정이에요. 이달까지 재발 방지 이행계획 제출을 요구하고, 이행점검에 나설 계획이에요.

티빙은 이날 "안전한 서비스를 제공하지 못한 데 대해 무거운 책임을 느낀다"라며 공식 사과하고 보상 계획을 발표했어요. 개인정보 유출 여부는 티빙 사이트에서 확인할 수 있다고.

티빙은 오는 2030년까지 정보보호 투자를 직전 5년 대비 4배로 늘리고, 전문 인력도 현재의 3배 수준으로 확대하기로 했어요. 피해 우려 이용자에게는 사이버 금융사기 등을 1인당 최대 300만 원까지 보상하는 안심 보험을 1년간 제공하고, 5000원 상당의 티빙 포인트 등을 줄 예정이에요. 보상 신청은 오는 7일부터 30일까지 받으며, 혜택은 다음 달 6일부터 적용돼요.