|
조사단에 따르면 공격자는 티빙 개발자가 보유한 ‘개발환경 접속키’를 사전에 탈취해 개발환경에 무단 침투했다. 이후 유출한 소스코드 안에 하드코딩되거나 평문으로 저장돼 있던 ‘운영환경 접속키’ 43개 중 2개를 확보해 클라우드 운영환경까지 뚫었다. 이 과정에서 이용자 정보 데이터베이스(DB) 접속정보마저 암호화 없이 평문으로 방치돼 있었던 것으로 드러났다.
공격자는 지난 5월 30일 1차로 정보유출을 시도하다 DB 서버 CPU 사용률이 100%까지 치솟으며 발각됐지만, 이튿날인 31일 CPU 점유율을 10% 이내로 제한하는 방식으로 2차 공격을 감행해 24GB 규모의 이용자 정보를 외부로 반출했다.
유출 항목은 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)이며, 비밀번호와 환불 계좌번호는 암호화된 상태였다. 다만 휴대전화번호·이메일 주소는 복호화 가능한 상태로 유출돼 사실상 평문 유출과 같은 수준으로 조사단은 판단했다.
조사단은 티빙의 정보보호 관리체계 자체가 부실했다고 지적했다. 개발인력 149명에 비해 정보보호 전담인력은 4명 내외에 그쳤고, 지난해 모의해킹에서 접속키 하드코딩 취약점이 발견됐음에도 개선 조치를 하지 않은 사실도 확인됐다.
티빙은 침해사고 인지 후 24시간 이내 신고 의무를 지키지 않아 정보통신망법에 따라 과태료 처분을 받게 됐다. 정보보안팀 상황전파 시점(5월 31일 오전 10시10분) 기준으로 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고(6월 1일 오후 3시8분)했다는 게 조사단 판단이다.
과기정통부는 티빙에 재발방지 대책 이행계획을 9월 중 제출받고 10~12월 이행 여부를 점검할 계획이다. 개인정보 유출 규모에 대한 세부 확정 결과는 개인정보보호위원회가 추후 별도 발표할 예정이다.
