데일리 TOP10
3위
티빙 4천만 계정 유출, 접속키 관리 부실이 화근
뉴스보이
2026.09.03. 15:34
뉴스보이
2026.09.03. 15:34
티빙 대규모 정보 유출, 과기정통부 조사 결과 발표
1
OTT 플랫폼 티빙에서 소스코드 등 기술자산 361건과 이용자 계정 약 3,954만 개가 유출된 사실이 확인됨
2
과학기술정보통신부 민관합동조사단은 3일 브리핑을 통해 티빙의 모든 계정이 유출되었음을 발표함
3
공격자는 개발환경 접속키를 탈취 후 운영환경까지 침투했으며, 소스코드 내 운영환경 접속키 노출 등 총체적 관리 부실이 원인으로 지목됨
4
아이디, 비밀번호, 성명, 휴대전화번호, 이메일 등 20개 항목이 유출되었으며, 휴대전화번호와 이메일은 암호화키 유출로 사실상 평문 노출과 같음
5
티빙은 침해사고 인지 후 24시간 이내 신고 의무를 지연하여 과태료가 부과될 예정이며, 재발 방지 이행계획 제출 및 이행 점검이 요구됨
티빙 정보 유출, 왜 이렇게 대규모로 발생했나?
개발환경 접속키 탈취가 대규모 유출로 이어진 이유는?
유출된 개인정보와 기술자산, 그 심각성은?
티빙의 정보보호 관리체계, 무엇이 문제였나?
침해사고 신고 지연에 대한 제재와 강화되는 법규는?
개발환경 접속키 탈취가 대규모 유출로 이어진 이유는?
•
조사단은 공격자가 5월 29일부터 31일 사이 개발자의 개발환경 접속키를 사전에 탈취하여 개발환경에 무단 접속한 것으로 파악했습니다. 이 접속키 탈취가 해커의 첫 침투 경로가 되었으며, 이는 티빙 시스템의 핵심 영역으로 접근하는 발판이 되었습니다.
•
더 큰 문제는 소스코드 내부에 운영환경 접속키 43개가 숨김없이 노출(하드코딩)되어 있었다는 점입니다. 공격자는 개발환경에서 이 운영환경 접속키를 추가 확보하여 아마존웹서비스(AWS) 운영환경까지 침투할 수 있었고, 이는 개발과 운영 환경 간의 보안 경계가 무너진 총체적 관리 부실을 보여줍니다.
유출된 개인정보와 기술자산, 그 심각성은?
•
유출된 계정은 활성, 비활성, 테스트 계정을 포함해 총 3,954만 개에 달하며, 아이디, 비밀번호, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종이 포함되었습니다. 특히 휴대전화번호와 이메일 주소는 암호화 키가 함께 유출되어 사실상 평문 유출과 동일한 수준으로 판단됩니다.
•
이용자 정보뿐만 아니라 소스코드가 포함된 개발 프로젝트 361건(30.35GB)도 유출되었습니다. 여기에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙의 핵심 기술 자산이 망라되어 있어, 기업의 경쟁력과 미래 사업에 심각한 타격을 줄 수 있습니다.
티빙의 정보보호 관리체계, 무엇이 문제였나?
•
티빙은 운영환경 접속키를 별도 저장 공간에 분리 보관하지 않고 소스코드 내부에 그대로 노출하는 '하드코딩' 방식을 사용했습니다. 또한 개발환경의 설정값(환경변수)과 DB 접속 정보(아이디·패스워드)도 암호화 없이 평문으로 방치하는 등 기본적인 보안 수칙을 지키지 않았습니다.
•
정보보호 전담 인력도 외주 인력을 제외하면 4명 내외에 불과하여 전체 임직원 265명, 개발 인력 149명 규모에 비해 턱없이 부족했습니다. 2024년 모의해킹에서 하드코딩 취약점이 발견되었음에도 개선 조치가 이루어지지 않았고, 시스템 로그 보관 기간도 짧아 공격 경로 추적에 한계가 있었습니다.
침해사고 신고 지연에 대한 제재와 강화되는 법규는?
•
티빙은 침해사고 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고하여 정보통신망법상 신고 의무를 지연했습니다. 이에 과기정통부는 최대 3천만 원의 과태료를 부과할 예정입니다.
•
이달 11일 시행되는 개정 개인정보보호법에 따라 반복·중과실에 의한 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다. 또한 10월 1일 시행되는 개정 정보통신망법은 정보보호 인력·예산 의무화, 정부의 선제적 조사 착수 근거 마련 등을 담고 있어, 향후 유사 사고에 대한 기업의 책임이 더욱 강화될 것입니다.
개발환경 접속키 탈취가 대규모 유출로 이어진 이유는?
•
조사단은 공격자가 5월 29일부터 31일 사이 개발자의 개발환경 접속키를 사전에 탈취하여 개발환경에 무단 접속한 것으로 파악했습니다. 이 접속키 탈취가 해커의 첫 침투 경로가 되었으며, 이는 티빙 시스템의 핵심 영역으로 접근하는 발판이 되었습니다.
•
더 큰 문제는 소스코드 내부에 운영환경 접속키 43개가 숨김없이 노출(하드코딩)되어 있었다는 점입니다. 공격자는 개발환경에서 이 운영환경 접속키를 추가 확보하여 아마존웹서비스(AWS) 운영환경까지 침투할 수 있었고, 이는 개발과 운영 환경 간의 보안 경계가 무너진 총체적 관리 부실을 보여줍니다.
유출된 개인정보와 기술자산, 그 심각성은?
•
유출된 계정은 활성, 비활성, 테스트 계정을 포함해 총 3,954만 개에 달하며, 아이디, 비밀번호, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종이 포함되었습니다. 특히 휴대전화번호와 이메일 주소는 암호화 키가 함께 유출되어 사실상 평문 유출과 동일한 수준으로 판단됩니다.
•
이용자 정보뿐만 아니라 소스코드가 포함된 개발 프로젝트 361건(30.35GB)도 유출되었습니다. 여기에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙의 핵심 기술 자산이 망라되어 있어, 기업의 경쟁력과 미래 사업에 심각한 타격을 줄 수 있습니다.
티빙의 정보보호 관리체계, 무엇이 문제였나?
•
티빙은 운영환경 접속키를 별도 저장 공간에 분리 보관하지 않고 소스코드 내부에 그대로 노출하는 '하드코딩' 방식을 사용했습니다. 또한 개발환경의 설정값(환경변수)과 DB 접속 정보(아이디·패스워드)도 암호화 없이 평문으로 방치하는 등 기본적인 보안 수칙을 지키지 않았습니다.
•
정보보호 전담 인력도 외주 인력을 제외하면 4명 내외에 불과하여 전체 임직원 265명, 개발 인력 149명 규모에 비해 턱없이 부족했습니다. 2024년 모의해킹에서 하드코딩 취약점이 발견되었음에도 개선 조치가 이루어지지 않았고, 시스템 로그 보관 기간도 짧아 공격 경로 추적에 한계가 있었습니다.
침해사고 신고 지연에 대한 제재와 강화되는 법규는?
•
티빙은 침해사고 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고하여 정보통신망법상 신고 의무를 지연했습니다. 이에 과기정통부는 최대 3천만 원의 과태료를 부과할 예정입니다.
•
이달 11일 시행되는 개정 개인정보보호법에 따라 반복·중과실에 의한 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다. 또한 10월 1일 시행되는 개정 정보통신망법은 정보보호 인력·예산 의무화, 정부의 선제적 조사 착수 근거 마련 등을 담고 있어, 향후 유사 사고에 대한 기업의 책임이 더욱 강화될 것입니다.
#티빙
#과학기술정보통신부
#소스코드
#접속키
#이용자 계정
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
