티빙
과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 공식 발표했습니다.
조사 결과에 따르면 소스코드가 포함된 기술자산 361건과 함께 이용자 계정 약 3천954만 개가 외부로 유출된 것으로 확인되었습니다.
유출된 계정은 활성화 계정 2천206만 개, 비활성화 계정 1천737만 개, 테스트 계정 11만 개로 구성되며 중복 계정도 다수 포함되어 있습니다.
유출 항목은 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 총 20개 항목 70종입니다.
비밀번호는 일방향 암호화되어 복호화가 불가능하지만, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출되어 평문 유출과 동일한 수준으로 평가됩니다.
기술자산의 경우 핵심 추천 알고리즘과 결제 및 회원 관리 체계가 포함된 프로젝트 30.35GB 분량이 유출되었습니다.
공격자는 사전 탈취한 개발자의 접속키를 통해 내부 시스템에 침투한 뒤 운영환경 접속키 43개를 추가 확보해 데이터베이스에 접근했습니다.
공격 과정에서 가상서버를 생성해 24GB 규모의 이용자 정보를 외부로 이전한 뒤 증거 인멸을 위해 서버를 삭제한 사실이 확인되었습니다.
조사단은 소스코드 내 접속키 하드코딩, 환경변수 및 접속정보 미암호화, 전담 인력 부족 등 전반적인 관리 부실을 지적했습니다.
또한 티빙은 침해사고 인지 시점인 5월 31일 오전 10시 10분으로부터 24시간을 초과해 6월 1일 오후 3시 8분에 신고를 완료했습니다.
정부는 법정 신고 기한 미준수에 따라 정보통신망법 위반으로 최대 3천만 원의 과태료를 부과할 예정입니다.
과기정통부는 티빙 측에 재발 방지 이행 계획 제출을 요구했으며 내년 1월부터 이행 상황 점검을 실시할 방침입니다.
[저작권자 ⓒ ANIMALPLANET, 무단전재 및 재배포 금지]
