[일문일답] 정부 "티빙 모든 계정 정보 유출...공격자 특정 못해"

[아이뉴스24 서효빈 기자] 정부가 티빙(TVING) 침해사고로 활성·비활성·테스트 계정을 포함한 모든 계정의 정보가 유출됐다고 밝혔다. 다만 공격자와 최초 침투 경로는 특정하지 못해 현재 경찰 수사가 진행 중이다.

과학기술정보통신부 민관합동조사단은 3일 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사단은 공격자가 티빙 개발환경 접속키를 탈취한 경로를 확인하기 위해 피싱과 악성코드, 공급망 보안, 접속키 오남용, 취약점 등 여러 가능성을 조사했지만 최초 침투 경로와 공격자를 특정하지 못했다.

다음은 임정규 과기정통부 정보보호네트워크정책관, 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장과의 주요 일문일답.

-1차 공격 시도 당시 이상징후가 발생했는데 추가 공격을 막지 못한 이유는.

(임정규 정책관) "당초 1차 시도 때 티빙에서 이게 해킹이라는 사실을 바로 알았다면 그에 대한 조치를 했을 것이다. 그런데 당시에는 CPU가 100% 올라갔다는 사실을 일반적인 시스템의 CPU 과다 사용으로 봤고 이것을 해킹으로 보지 않았다. 그랬기 때문에 당시 접속 차단 외에 추가적인 조치를 안 했고 2차적인 추가 사건이 발생하게 된 것이다."

(박용규 본부장) "1차 시도 때는 보안 알람이라기보다는 시스템 이상 알람이었다. 그 이후에 티빙이 이런 조치가 어떤 사항인지 계속 조사를 하고 있었고 그 와중에 2차 시도가 같이 발생된 사건으로 이해하면 된다."

-3954만개 계정이 유출됐는데 실제 피해 이용자는 몇 명인가.

(임정규 정책관) "3954만 계정에는 다수의 중복이 포함돼 있다. CI를 보유한 1904만개에 대해서는 CI를 보유했기 때문에 중복 개수를 정확히 찾아낼 수 있었다. 약 580만개 정도의 중복이 발생한 것으로 찾아냈다.

CI를 보유하지 않은 계정에 대해서는 중복 여부를 확인할 수 있는 방법을 찾지 못했다. CI 보유 계정과 중복이 있을 수 있고 CI 미보유 계정 내에서도 중복이 있을 수 있다. 정확하게 중복 숫자를 확인할 수 없었기 때문에 이 부분은 개인정보보호위원회 조사 과정에서 보다 상세히 확인될 것으로 본다."

-개발환경 접속키가 어떻게 탈취됐는지는 확인했나. 공격자를 특정할 수 있나.

(임정규 정책관) "최초 공격자를 찾기 위해 다양한 공격 시나리오를 다 조사했다. 피싱을 통해 개발환경 접속키가 유출됐을 가능성을 조사했고 악성코드를 보내 접속키를 탈취했을 가능성도 확인했다. 공급망 보안, 접속키 오남용, 취약점 분석 등도 확인했다.

공격자들이 대표적으로 사용하는 시나리오를 모두 확인했는데 공격자를 확인하지 못했다. 이 사건은 동시에 경찰에서 수사 중이다. 경찰 수사를 통해 이 부분은 밝혀질 것으로 기대하고 있다."

-접속키 탈취 경로를 규명하지 못한 것이 로그가 남아 있지 않았기 때문인가.

(박용규 본부장) "다양한 시나리오로 접근했고 그런 시나리오를 뒷받침할 만한 로그도 확인했다. 해당 PC나 노트북에 대한 포렌식 분석까지 다 수행했는데 그런 시나리오를 뒷받침할 만한 근거를 확인하지 못했다."

-유출된 데이터가 어디로 빠져나갔는지는 확인했나.

(임정규 정책관) "정보가 국내가 아닌 해외 계정으로 나간 것을 확인했다. 정확한 국가나 이런 내용은 수사의 영역이다. 수사 과정에서 밝혀질 것으로 본다."

(박용규 본부장) "서버 위치는 해외로 나간 흔적까지만 확인됐다. 이 데이터가 해외 서버에 실제 남아 있는지 여부는 수사를 통해 해결해야 될 부분이다."

-CI가 유출됐는데 추가 피해 가능성은.

(임정규 정책관) "CI는 이용자가 직접 입력하는 아이디나 비밀번호와 같은 정보가 아니기 때문에 이를 통해 직접 로그인하거나 불법 거래에 악용될 가능성은 굉장히 낮다.

다만 CI 값이 다른 개인정보와 결합될 경우 개인을 특정할 수 있다. 그렇기 때문에 CI 값이 있으면 스미싱이나 피싱 등에 악용될 가능성을 배제할 수 없다고 보고 있다. 소관 부처인 방송미디어통신위원회가 연계정보 보호 방안 등 대응책을 마련 중이다."

-탈퇴하거나 휴면 상태인 회원의 정보와 CI를 계속 보유할 필요가 있었나.

(임정규 정책관) "티빙의 경우 전자상거래법이 적용된다. 계약 철회와 관련된 기록은 5년까지, 소비자 분쟁과 관련된 기록은 3년 동안 보관하도록 규정하고 있다.

해당 정보가 정확히 계약 철회 관련 기록이나 분쟁에 대비한 기록인지는 하나씩 확인해야 한다. 이 부분도 개인정보보호위원회 조사 과정에서 명확히 밝혀질 것으로 생각한다."

-사고 인지 시점을 놓고 티빙과 조사단 판단이 다른 이유는.

(박용규 본부장) "처음에는 보안 알람이 뜬 게 아니라 시스템 이상 알람이 떴다. 최초 알람 이후 티빙은 이게 어떤 상황인지 상세히 분석하기 시작했고 그 과정에서 무단 데이터가 유출되고 있음을 확인해 내부 부서 간 정보 공유를 진행했다.

티빙이 신고한 인지 시점과 조사단이 판단한 인지 시점, 실제 신고할 때 입력한 인지 시점이 다를 수 있다. 최초 알람 이후 내부적으로 판단하는 시간이 소요됐고 그 시간이 반영된 부분이라고 이해하면 된다."

-1차 공격 당시 티빙이 했다는 차단 조치는 구체적으로 무엇인가.

(박용규 본부장) "1차 유출 시도가 DB에서 정보를 읽어오는 것을 확인했다. CPU가 100%를 기록하는 이상 상황이 생겼고 당시 데이터 유출이 시도되고 있었음을 확인해 그것 자체를 차단했다.

차단 이후에는 추가적인 유출이 없었지만 공격자가 1차 시도 때 차단됐기 때문에 다시 2차 시도를 했고 그때 데이터를 다른 경로로 유출할 수 있었다."

-이번 사고는 인적 관리의 문제인가. 보안체계의 문제인가.

(박용규 본부장) "인적 체계와 보호 체계 모두 문제가 있었다고 판단하고 있다. 그래서 후속 조치 사항으로 전체적인 관리체계를 강화할 것을 주문하고 있다."

-CJ ONE 아이디만 비밀번호를 강제로 변경하도록 한 이유는.

(박용규 본부장) "CJ ONE 아이디를 통해 많은 서비스에 연결돼 있기 때문에 조사 초기에 다른 서비스로 피해가 확장되는 것이 굉장히 중요한 이슈였다. 그런 가능성을 미연에 차단하고자 먼저 보안 조치를 적용한 부분이다. 실제 관련 피해가 발견되거나 저희에게 접수된 사항은 아직까지 없다."

-네이버·카카오 등 SNS 계정으로 가입한 이용자는 외부 서비스까지 추가로 피해를 볼 가능성이 있나.

(임정규 정책관) "네이버, 카카오, 페이스북, X, 애플 등을 통해 티빙에 가입할 수 있다. 통상 SNS에서 실제로 넘어가는 정보는 이름과 이메일 주소다. 네이버는 출생연도와 성별까지 넘어간다.

그 시점에서 티빙이 다시 본인 확인을 하고 휴대전화 번호와 CI, DI, 생년월일, 성별 등을 수집한다. SNS에 있는 정보가 자동적으로 넘어가는 것은 아니다. 티빙의 정보가 유출됐다고 자연적으로 SNS 정보가 동시에 유출되거나 그럴 위험성은 없다고 말씀드릴 수 있다."

-티빙 정보보호 전담인력이 4명인데 몇 명 정도가 충분하다고 보나.

(임정규 정책관) "상대적으로 비슷한 규모의 보안 인력을 갖춘 유사 업종과 유사 기업과 비교하게 될 것이다. 1차적으로 티빙에서 먼저 인력과 예산 확대 방안을 제안한다. 이후 그 인원과 예산이 다른 기업과 비교해 적절한지 사후 협의하고 검토하는 과정을 거쳐 진행한다."

-CJ ONE 계정 863만개는 전체 유출 계정과 별개인가. 어떤 정보가 유출됐나.

(임정규 정책관) "3954만 계정을 활성화 계정과 비활성화 계정으로 나눠본 것이고 가입 방식에 따라서 자체 가입, CJ ONE, 간편 가입으로 나눠도 합치면 역시 3954만 계정이다. 같은 계정을 가입 방식, 활성화·비활성화 여부, CI 보유 여부 등 세 가지 방식으로 구분한 것이다.

CJ ONE 회원 중에서 얼마만큼의 정보가 나갔는지까지는 조사하지 않았다. 개인정보보호위원회에서 이 부분은 추가적으로 규명될 것으로 생각한다."

-당초 티빙이 신고한 약 1954만개 계정보다 조사 결과 유출 규모가 크게 늘어난 것인가.

(임정규 정책관) "1954만 계정이라는 것은 티빙이 스스로 개인정보보호위원회에 신고한 개인정보 유출 계정 수다. 티빙이 스스로 산정해서 중복을 제거해 보니 이 정도 숫자인 것 같다고 보고한 수치이고 아직 검증된 숫자는 아니다."

-KT를 통해 티빙 이용권을 받은 가입자도 유출 대상에 포함됐나. 결국 티빙의 모든 계정이 유출된 것인가.

(임정규 정책관) "모든 계정이 유출된 것은 맞다. 비활성 계정, 활성 계정, 테스트 계정 모두가 다 유출됐다. KT 보상 쿠폰 수령 가입자 중 정보가 유출된 숫자는 52만7000건으로 확인했다. 이 내용은 다른 숫자에는 포함돼 있지 않다."

-ISMS 인증을 받은 기업에서 이런 사고가 발생했다. 인증 취소도 검토하나.

(임정규 정책관) "인증받은 기업에서 이러한 문제가 발생한 것에 대해 죄송하다는 말씀을 드린다. 이번에 확인된 관리체계 문제점은 명확히 ISMS에 규정돼 있는 부분이다. 이렇게 관리해서는 안 되는 부분이다.

ISMS 인증제 실효성 강화 방안을 마련하면서 인증 기준을 보다 강화했고 심사 방식도 실제 현장 점검을 직접 가서 확인하는 방식으로 개편했다. 현재 인증 취소 관련 제도가 없어서 그 부분도 보완하고 있는 중이다."

-SK텔레콤, 쿠팡 등에 이어 침해사고가 반복되고 있다. 정부 대책의 효과는 언제 나타날 것으로 보나.

(임정규 정책관) "과거에는 사고 자체를 줄이려고 목표를 세우고 사고 건수를 줄이려고 했다. 실제 앞으로 공격자는 AI의 도움을 받아 더 강력해지고 더 빈번해질 것이다. 지금 정부 정책은 사고가 일어났을 때 가장 빨리 대응하고 대책을 세워 국민들의 피해를 줄이는 쪽으로 전환돼 있다.

기업이 신고하기 전에도 정부가 즉시 해킹 사고 정황이 발생하면 조사에 착수할 수 있도록 하고 재발 방지 대책을 불성실하게 이행하는 기업에 대해서는 이행강제금도 부과한다. 기업들이 스스로 정보보호 인력과 예산을 확충하도록 공시 제도도 확대한다. 정보보호 수준 평가 제도도 시행한다. 이러한 대책이 종합적으로 다 이뤄져야 조금씩 변화가 시작될 것이라고 말씀드릴 수 있다."