접속키 노출 알고도 못 고쳤다…티빙 ‘3954만개 유출’ 키운 기본 보안 공백

|스마트투데이=최아랑 기자| 티빙이 2024년 모의해킹에서 확인한 소스코드 내 접속키 노출 취약점을 사고 전까지 개선하지 못한 것으로 조사됐다. 이번 침해사고로 유출된 계정은 중복 기준 3954만개다.

9일 과학기술정보통신부 민관합동조사단에 따르면 티빙은 개발·운영 환경 접속키를 소스코드에 그대로 넣어두는 '하드코딩' 취약점을 2024년 모의해킹에서 확인하고도 개선하지 않았다.

접속키는 평문으로 저장·공유됐고, 개발자에게 전체 개발 프로젝트 접근권한이 부여된 점도 조사에서 지적됐다.

해커는 노출된 접속키를 이용해 개발 환경에 접근한 뒤 운영 시스템까지 침투한 것으로 조사됐다. 조사단은 접속키 관리 외에도 비정상 행위 탐지·대응 및 모니터링 체계, 정보보호 거버넌스와 침해사고 신고 과정의 문제점을 지적했다.

신규 장비 일부의 접속기록은 약 6일치만 보관됐다. 조사단은 티빙이 네트워크와 데이터 흐름의 비정상 행위를 실시간으로 탐지·대응하는 체계도 미흡했다고 판단했다.

이에 티빙은 실제 침해가 발생한 프로젝트가 당시 모의해킹 점검 범위에는 포함되지 않았다고 설명했다.

티빙 관계자는 “이후 변경 작업을 진행하던 중 공격이 발생했다”며 “서비스 성장 과정에서 프로젝트별 보안 규칙을 일관되게 적용하는 데 미흡한 부분이 있었다”고 말했다.

티빙은 이번 조사결과 발표와 함께 정보보호 투자·인력 현황과 중장기 보안 강화 계획을 공개했다.

정보보호 투자액은 2023년 18억4000만원, 2024년 17억7000만원, 2025년 24억8000만원이다. 정보기술 투자 대비 비중은 같은 기간 3.8%, 6.7%, 8.5%다. 정보보호 전담 인력은 2023년 7.4명에서 지난해 9.4명으로 늘었다.

티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고, 보안 전문 인력도 현재의 3배 수준으로 확충하겠다고 밝혔다.

프로덕트 보안·클라우드 보안·전사 IT 보안·컴플라이언스 보안 체계를 세분화하고, 인증·접근 통제에는 최소권한 원칙을 적용할 계획이다.

인공지능(AI) 기반 지능형 탐지와 실시간 자동 대응 체계도 강화한다. 대표이사(CEO)-정보보호 최고책임자(CISO)·개인정보보호책임자(CPO) 체계 아래 실무 보안협의체를 신설하고, CEO 직속 정보보호혁신 자문위원회도 운영할 방침이다.

티빙 관계자는 “조사단이 지적한 사항은 제로트러스트 원칙과 AI 기반 이상징후 탐지 등을 통해 보완해 나가겠다”고 말했다.