티빙, 중복 포함 3954만개 계정 유출…SNS 계정 자체 침해는 없어

과기정통부, 티빙 개인정보 유출 사고 민관합동조사단 결과 발표

외부 SNS 개인정보 유출 가능성 없다고 판단…"티빙으로 넘어간 정보만 유출"

라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 3일 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 조사 결과를 발표하고 있다. [사진=연합뉴스]

온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정을 포함해 총 3954만개 계정의 개인정보가 유출된 것으로 확인됐다. 한 명이 최대 13개 계정을 보유하는 등 중복 계정 수가 많아 실제 피해자 수는 아직 산정되지 않았다. 네이버, 카카오 등 사회관계망서비스(SNS) 계정 자체가 침해된 정황도 확인되지 않았다.

3일 과학기술정보통신부(과기정통부)는 지난 5월 발생한 티빙 개인정보 유출 사고에 대한 민관합동조사단(조사단)의 조사 결과를 발표했다. 조사단 관계자는 "중복을 포함한 약 3954만개 계정이 유출됐다"고 밝혔다. 

조사단에 따르면 유출 계정은 활성 계정 2206만3021개, 1년 이상 접속하지 않은 휴면 계정 850만 2679개, 회원 탈퇴로 비활성화된 계정 886만 8174개, 테스트 계정 10만 6823개 등 총 3954만697개다.

이번 사고로 외부 SNS의 개인정보까지 함께 유출되거나 해당 서비스에 접근할 가능성은 없다고 판단했다. 조사단 관계자는 "SNS 간편가입 과정에서 티빙으로 넘어간 이름·이메일 주소, 일부 출생연도·성별 등이 유출된 것"이라며 "외부 SNS의 개인정보까지 함께 유출된 것은 아니다"고 말했다. 

다만 티빙이 본인확인 과정에서 별도로 수집한 휴대전화 번호와 연계정보(CI)·중복가입확인정보 등은 유출 대상에 포함됐다. 

조사단 관계자는 "티빙이 성장하는 과정에서 가입 경로 간 중복 여부를 초기에 확인하지 않은 것으로 판단된다"며 "자체 가입과 CJ ONE, 네이버·카카오 등 여러 경로를 통해 동일인이 반복해서 가입할 수 있었고, CI를 기준으로 확인한 결과 한 명이 최대 13개 계정을 보유한 사례도 있었다"고 밝혔다.

가입·인증 방식에 따라 계정별로 유출된 개인정보의 범위도 달랐다. 조사단은 이번 사고로 △아이디 △비밀번호 △CJ ONE 통합 ID △성명 △휴대전화 번호 △이메일 주소 △생년월일 △주민등록번호를 대신해 개인을 식별하는 연계정보(CI) 등 총 20개 항목이 유출됐다고 파악했다.

특히 CI 보유 여부에 따라 유출된 개인정보의 범위에 차이가 있었다. CI 보유 계정은 1904만개로, 동일 CI를 기준으로 중복 계정 580만개를 제거하면 1324만개다. 이들 계정에서는 평균 11.1개 항목이 유출됐다. 반면 CI 미보유 계정 2040만개에서는 평균 4.6개 항목이 유출된 것으로 나타났다.

조사단 관계자는 "CI 보유 계정에서는 중복 계정 580만개를 정확히 확인했다"면서도 "CI 미보유 계정 2040만개는 CI 보유 계정과 연결될 수도 있고, 미보유 계정끼리 중복됐을 수도 있어 정확한 중복 규모를 확인하지 못했다"고 언급했다. 전체 중복을 제거한 실제 피해자 수는 개인정보보호위원회의 추가 조사를 거쳐 산정될 예정이다.

CI 미보유 계정은 본인인증을 거치지 않아 일부 정보가 누락됐거나 정확하지 않은 사례도 다수 확인됐다. 조사단 관계자는 "CI는 이용자가 직접 입력하거나 로그인에 사용하는 정보가 아니어서 단독으로 악용될 가능성은 낮다"면서도 "성명과 휴대전화 번호 등 다른 개인정보와 결합하면 개인을 특정할 수 있어 스미싱이나 피싱에 악용될 가능성이 있다"고 설명했다. 이어 "방송미디어통신위원회가 CI 유출에 따른 보호 방안을 마련하고 있다"고 덧붙였다. 

조사단은 공격자의 최초 침투 경로도 조사했으나 명확한 원인은 규명하지 못했다. 조사단 관계자는 "피싱과 악성코드 감염, 공급망 공격, 접속키 오남용 등 여러 시나리오를 검토하고 관련 PC와 노트북을 포렌식 분석했다"며 "하지만 이를 뒷받침할 근거를 찾지 못해 최초 개발환경 접속키의 탈취 경로는 확인하지 못했다"고 말했다. 공격자와 구체적인 접속키 탈취 경로는 경찰이 수사 중이다. 

조사단은 티빙의 내부 보안 대응 역량이 부족해 피해가 커졌다고 판단했다. 티빙의 정보보호 전담인력은 4명으로, 개발인력 149명과 전체 임직원 265명에 비해 부족한 수준이었다. 조사단 관계자는 "전담인력 4명으로 다양한 정보보호 활동을 수행하는 데 한계가 있었다"며 "티빙이 증원 계획을 제시하면 유사 기업과 비교해 인원과 예산의 적정성을 협의할 것"이라고 언급했다.