최주희(오른쪽 두 번째) 대표이사를 비롯한 티빙 임원들이 3일 서울의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. 연합뉴스

온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정 등을 포함해 3954만 개 계정이 유출된 배경에는 개발환경 접속키 관리부터 접근권한 통제, 이상징후 탐지·보고, 취약점 개선까지 정보보호 관리체계 전반의 부실이 있었던 것으로 조사됐다. 이번 사고로 유출된 개인정보는 계정별로 차이가 있지만 아이디·이름·휴대전화번호·이메일·생년월일·CI 등 20개 항목, 70개 유형에 달했다.

과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하면서 “비활성 계정, 활성 계정, 테스트 계정 모두 유출된 것이 맞다”고 밝혔다. 조사 결과 외부로 유출된 계정은 로그인 가능한 활성 계정 2206만 개, 휴면 계정 850만 개, 탈퇴 계정 887만 개, 테스트 계정 11만 개다. 실제 이용자 수가 아닌 계정 수여서 한 사람이 여러 계정을 보유한 경우 중복 집계되며, 한 사람이 최대 13개 계정을 가진 사례도 확인됐다.

조사단에 따르면 티빙 개발자들은 개발·운영환경 접속키를 소스코드에 암호화하지 않은 채 그대로 노출하거나 사내 메신저 등을 통해 공유했다. 접근권한도 업무에 필요한 최소 범위로 제한하지 않고 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했다. 이 때문에 단 하나의 접속키가 탈취되더라도 모든 개발 프로젝트에 접근할 수 있는 구조였다. 키의 발급·사용·변경·폐기 및 정기점검 절차도 제대로 마련돼 있지 않았다. 비정상 행위를 탐지하고 차단하는 체계도 미흡했다. 티빙은 CPU 부하 등 단순한 시스템 모니터링에 의존했을 뿐 네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 정보보호 체계가 없었던 것으로 조사됐다. 권한 없는 사용자의 비정상 접속 통제를 위한 네트워크·시스템 접근제어 정책도 부재했다. 또한 이상징후가 발생한 뒤에도 사고 대응을 총괄하는 정보보호 전담조직과 최고책임자에게 상황이 공유되기까지 약 14시간이 걸렸다.

티빙은 또 2024년 모의해킹을 통해 개발·운영환경 접속키가 소스코드에 그대로 노출되는 취약점을 발견했지만 이를 개선하지 않았다. 침해사고 신고도 법정 시한을 넘겼다. 티빙 정보보안팀에 상황이 전파된 5월 31일 오전 10시10분부터 24시간이 지난 6월 1일 오후 3시8분에야 KISA에 신고했다. 과기정통부는 정보통신망법에 따라 3000만 원 이하의 과태료를 부과할 예정이다.