티빙 계정 3954만개·개발 프로젝트 361건 유출…암호화 비밀번호보다 먼저 확인할 정보와 후속조치

과학기술정보통신부 조사 결과 소스코드가 포함된 티빙 개발 프로젝트 361건이 유출됐습니다. 이용자 정보는 활성 계정 2,206만개, 비활성 계정 1,737만개, 테스트 계정 11만개 등 총 3,954만개 계정으로 집계됐으며 CI 중복 등 다수 중복이 포함돼 있습니다.

한 사람이 최대 13개 계정을 가진 사례도 확인됐습니다. 따라서 3,954만개를 곧바로 ‘피해자 3,954만명’이라고 표현하면 실제 사람 수보다 크게 잡을 수 있습니다.

정부 자료는 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등을 포함해 계정 특성에 따라 20개 항목 70종의 정보가 유출됐다고 설명했습니다. 비밀번호와 환불 계좌번호는 암호화돼 있었다고 명시했습니다.

CI 보유 계정은 평균 11개 항목, CI 미보유 계정은 평균 5개 항목이 영향을 받은 것으로 조사됐습니다. 개인정보별 최종 유출 규모는 개인정보보호위원회가 확정할 예정이므로 자신의 항목은 개별 안내를 확인해야 합니다.

조사에 따르면 공격자는 개발자가 보유한 접속키를 탈취해 내부 시스템에 침투했습니다. 정부는 키 관리체계 미비, 비정상 행위 모니터링 부재, 로그 관리 미흡과 과거 취약점 미조치 등을 문제점으로 지적했습니다.

티빙은 사고 인지 후 신고가 법정 기한보다 늦어 정보통신망법상 신고 지연에 따른 과태료 처분 대상이 됐습니다. 재발방지 대책에는 키 이력·접근권한 관리, 이상행위 탐지, 로그 저장관리와 취약점 조치 강화가 포함됐습니다.

다른 서비스에서도 같은 비밀번호를 썼다면 티빙뿐 아니라 재사용한 서비스의 비밀번호를 각각 다르게 바꾸는 것이 우선입니다. 이름·전화번호·이메일이 노출됐을 수 있으므로 ‘티빙 환불·보상·본인확인’을 사칭한 문자와 메일의 링크를 바로 누르지 않는 편이 안전합니다.

티빙의 개별 유출 안내에서 자신의 계정과 항목을 확인하고, 개인정보보호위원회의 최종 확정 내용도 확인할 필요가 있습니다. 비밀번호가 암호화됐다는 사실은 다른 개인정보를 이용한 피싱 위험까지 없다는 뜻은 아닙니다.