지난 6월 온라인동영상서비스(OTT) 티빙의 개인정보 유출 사고 당시 계정 3900만여개와 소스 코드가 포함된 기술 자산 361건이 유출된 것으로 나타났다. 티빙은 개발자들이 활용하는 접속키 관리에 소홀해 공격자에게 전체 이용자 개인정보와 개발 프로젝트 등 핵심 데이터를 내주게 됐다. 과학기술정보통신부는 티빙의 개인정보 유출 침해사고에 대한 민관합동조사단(합조단)의 이 같은 조사 결과를 3일 발표했다. 이번 사고는 지난 5월30일 티빙 데이터베이스(DB) 서버에 시스템 과부하 이상징후가 나타나면서 시작됐다. 티빙은 외부인이 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 파악하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 이후 과기정통부는 지난 6월2일 민관합동조사단을 꾸리고 본격적인 조사에 착수했다. 조사 결과 유출된 계정은 총 3954만개로, 티빙 회원 계정 전체가 유출된 것으로 확인됐다. 티빙은 한 사람이 여러 개의 계정을 보유할 수 있어 중복이 포함된 수치다. 한 사람이 최대 13개의 계정을 보유한 경우도 있었다. 계정 유형별로는 로그인이 가능한 활성화 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개 등으로 집계됐다. 유출된 정보는 ▲ID ▲비밀번호 ▲CJ 원 통합ID ▲성명 ▲휴대전화 번호 ▲이메일 주소 ▲생년월일 ▲연계정보(CI) ▲중복가입 확인정보(DI) 등을 포함해 최대 20개 항목(70종)인 것으로 나타났다. CI는 개인을 식별하기 위한 고윳값으로, 본인인증 과정에서 주민등록번호를 대신해 수집된다. 유출된 정보 중 비밀번호는 암호화된 상태로 유출돼 평문으로 복호화가 불가능하다고 합조단은 설명했다. 다만 휴대전화 번호, 이메일 주소 등 다른 정보들은 일부 암호화된 상태로 유출됐더라도, 암호화키가 함께 유출돼 복호화가 가능하다. 계정별로 나눠보면 CI를 보유한 계정에서 더 많은 정보 유출이 발생했다. 본인인증을 거쳐 CI를 보유한 계정 1904만개에서는 평균 11.1개의 항목이 유출됐고, 이를 거치지 않아 CI가 없는 계정 2040만개는 평균 4.6개 항목의 정보가 유출됐다 모바일릴게임 접속하기 . 이번 침해사고로 티빙이 진행하던 개발 프로젝트 361건 전체 데이터 역시 유출됐다. 이 데이터는 총 30.35기가바이트(GB)에 달한다. 해커, 개발환경 접속키 탈취…정보 무방비로 털려 합조단은 이번 유출사고가 공격자가 티빙 개발자들이 사용하는 '개발환경 접속키'를 탈취해 시스템 내부에 침투하면서 발생했다고 설명했다. 공격자는 개발자가 보유하고 있는 개발환경 접속키를 탈취해 개발 프로젝트를 먼저 빼냈다. 이후 공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 '운영환경 접속키' 역시 확보했다. 이 키를 활용하면 티빙 운영환경에 침투할 수 있다. 이 과정에서 이용자 정보 DB에 접근할 수 있는 접속정보(ID, PW)가 암호화되지 않고 평문으로 저장된 것을 확인해 함께 탈취했다. 공격자는 지난 5월30일 DB 접속정보와 운영환경 접속키를 악용, 이용자 DB에 접속해 정보 조회와 유출을 시도했지만 서버 작업량이 급상승한 것을 알아챈 티빙 측에서 작업을 차단해 실패했다. 이에 공격자는 다음날 가상서버 생성 권한이 있는 운영환경 접속키를 이용해 내부에 가상서버를 생성했고, 이를 통로로 이용자 정보를 빼냈다. 최초 공격자 미확인…유출된 데이터는 해외로 합조단은 최초 공격자가 누구인지와 개발환경 접속키가 어떤 과정을 거쳐 탈취됐는지는 확인되지 않았다고 설명했다. 티빙 공격자에 대한 조사는 현재 경찰에서 진행하고 있다. 아울러 합조단은 유출된 이용자 데이터가 해외로 빠져나갔다고도 부연했다. 합조단은 티빙이 접속키 관리를 제대로 하지 않아 공격에 노출됐다고 판단했다. 개발·운영 환경에 접근하기 위한 접속키를 소스코드 내부에 그대로 노출하거나 암호화 처리 없이 평문으로 저장했다는 것이다. 여기에 임직원들이 사내 메신저를 통해 이 키를 타인과 공유하기도 했고, 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여한 。도 확인됐다 릴 게임 바다이야기 . 아울러 티빙은 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 노출하는 취약。을 발견했지만 이를 개선하지 않은 것으로 도 나타났다. 합조단은 티빙이 공격 행위를 탐지·대응하는 체계를 제대로 갖추지 않았고, 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책을 마련하지 않았다고 설명했다. 정보보호 전담인력 역시 4명 내외로 한계가 있었다는 게 합조단의 설명이다. 임정규 과기정통부 정보보호네트워크정책관은 "정보보호 전담인력은 비슷한 인력 규모를 갖춘 유사 업종의 기업과 비교한 뒤 협의와 검토를 거쳐 설정하게 된다"고 설명했다. 침해사고 발생 이후 신고 역시 법정 시한을 넘겼다. 정보통신망법에 따라 침해사고 인지 후 24시간 이내에 과기정통부 또는 KISA에 신고해야 하지만, 티빙은 인지 후 24시간이 지난 뒤 KISA에 신고했다. 과기정통부는 이에 따라 과태료를 부과할 예정이다. 과기정통부는 이번 합조단 조사 결과를 토대로 티빙에 재발 방지 대책에 따른 이행계획을 제출하도록 할 계획이다. 이후 티빙의 이행 여부를 .검하고, 보완이 필요한 내용에 대해서는 시정조치를 명령한다. 정보보호투자 직전 5년 대비 4배 확대 티빙은 개인정보 유출 사고에 대해 공식 사과하고 2030년까지 정보보호 투자를 직전 5년의 4배로 확대키로 했다. 고객 보상안으로는 사이버 금융사기 등 최대 300만원까지 보상하는 안심 보험을 제공하고, 5000원 상당의 티빙 포인트 등을 제공할 계획이다. 티빙은 이날 오후 서울 광화문 코리아나 호텔에서 사이버 침해사고 관련 설명회를 열고 공식 사과와 함께 이같은 내용의 정보보안 투자 계획·고객 보상 패키지를 발표했다. 최주희 티빙 대표이사는 "민관합동조사단의 조사결과를 겸허히 수용하며, 이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 。 진심으로 사과드린다"고 밝혔다. 이어 "고객의 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다"고 말했다. 체리마스터 릴게임 티빙은 개인정보 유출 사고를 계기로 보안 체계를 전면 재확립한다. 정보 보호 투자·보안 인력을 확대하고, 제로 트러스트 기반 보안 체계 재구축에 나선다. 조직 거버넌스와 보안 문화를 재정립하고 외부 협력을 통한 전문성 강화에 나설 계획이다. 해킹·피싱 안심 보험 제공…티빙포인트 등 지급 티빙은 고객의 신뢰를 회복하고 추가 피해를 예방하기 위해 ▲해킹·피싱 안심 보험 ▲프리미엄급 시청 환경 업그레이드 ▲티빙 포인트 ▲엔터테인먼트 쿠폰으로 구성된 보상 패키지를 제공한다. 안심 보험은 1년간 제공되며, 해킹·피싱에서 비롯된 사이버 금융사기는 물론 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만 원을 보상한다. 또 별도 신청 없이 자동으로 프리미엄급 시청 환경으로 업그레이드된다. 티빙은 최신 영화 등을 개별 구매할 때 사용할 수 있는 5000원 상당의 티빙 포인트를 지급하며, 웨이브 광고형주문형비디오(AVOD) 1개월(5500원)· CGV 콤보 3종 5000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 제공한다. 보상 패키지는 오는 7일부터 30일까지 신청을 받아 다음 달 6일부터 적용된다. 자세한 내용과 신청 방법은 티빙 공식 앱과 홈페이지 공지사항에서 확인할 수 있다. 최주희 대표 "탈퇴·휴면 상태 고객 모두에게 보상 티빙 측은 보상 패키지 인당 가액을 약 2만원 수준으로 추산했다. 티빙은 이번 유출 사고로 인한 재무적 부담에 관한 기자 질의에 "중복을 제외하고 자체 산출한 고객 1950만명에 대해 1인당 각 2만원 상당의 보상액을 적용하기는 현실적으로 무리"라면서 "보상안 가운데는 현금성으로 부담해야 하는 부분과 원가성으로 부담해야 하는 부분들이 패키지로 적용된 데다 옵션마다 모두 다르게 구성돼 적정하지 않다"고 설명했다. 최 대표는 "티빙이 국내 온라인동영상서비스(OTT)로서 커가는 과정에서 개인정보 유출 사고로 재무적 부담이 발생하게 돼 대표이사로서 안타깝고 죄송스러운 마음"이라면서 "고객이 티빙을 믿고 다시 즐길 수 있게 하는 가장 큰 영향력은 콘텐츠라고 생각하며, 콘텐츠에 대한 투자를 더 강화해 글로벌 확장을 도모할 것"이라고 덧붙였다. 해사고 인지 후 2