티빙 민관합동조사단 조사결과 주요내용

안녕하십니까? 과학기술정보통신부 정보보호네트워크정책관 임정규입니다.

지금부터 티빙 민관합동조사단 조사 결과를 말씀드리겠습니다.

지난 5월 30일 티빙은 데이터베이스 서버의 작업량 과다로 인해서 시스템 과부하 현상을 발견하였습니다. 티빙은 이상 징후를 분석하는 과정에서 비인가자가 내부 서버에 무단 접근하여 이용자 정보를 조회한 사실을 인지하고 6월 1일 한국인터넷진흥원에 침해 사고를 신고하였습니다.

6월 2일 과기정통부는 한국인터넷진흥원과 함께 현장 조사를 착수하여 사고 현황을 파악한 후 6월 3일 침해사고 조사 심의위원회 심의를 거쳐 민관합동조사단을 구성하고 피해규모와 사고원인 등에 대한 조사를 진행하였습니다.

조사단은 이용자 정보 데이터베이스에 대한 비정상 접근으로 정보가 유출된 사실을 확인하고 내부 시스템 접근에 필요한 접속키 탈취 경위부터 공격자가 침투한 침투 경로, 정보유출 규모 그리고 정보보호 관리체계 등으로 조사범위를 설정하였습니다.

먼저, 시스템 침투에 악용된 접속키 탈취의 경위를 파악하기 위해 개발자 단말기 총 9대에 대해서 포렌식 분석을 실시하고 다양한 공격 시나리오를 정밀 분석하였습니다.

또한 보안장비, 데이터베이스·티빙 시스템의 로그를 연계 분석하여 공격자가 침투한 경로를 조사하였습니다. 이를 통해 유출된 정보의 종류와 피해 규모를 확인하고 그에 따른 피해 영향도를 분석하였습니다.

아울러, 정보통신망법에 따른 정보보호조치에 관한 지침, 정보보호 관리체계 인증 기준, 티빙 자체 규정에 대한 준수 여부 등 전사 차원의 정보보호 관리체계를 점검하였습니다.

다음으로, 피해 규모에 대해서 말씀드리겠습니다.

조사단은 공격자가 티빙 내부 시스템에 무단 침투하여 소스코드가 포함된 개발 프로젝트와 이용자 정보를 유출한 것을 확인하였습니다.

먼저, 기술자산 유출입니다.

조사단은 티빙 개발환경 보안로그를 분석한 결과, 개발자가 구축 또는 개발 중인 소스코드가 포함된 개발 프로젝트 361건이 유출되었음을 확인하였습니다.

개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 OTT 서비스를 운영하고 관리하기 위한 기술자산이 포함되어 있었습니다.

기술자산 유출 관련해서 티빙은 자체 보안 조치를 강화하고 있으며, 소스코드 유출에 따른 취약점을 악용한 추가 공격 정황은 현재까지 확인된 바 없음을 말씀드립니다.

다음으로, 이용자 정보 유출입니다.

조사단은 티빙 데이터베이스 및 관련 로그 분석을 통해 로그인이 가능한 활성화 계정 2,206만 개, 비활성화 계정 1,737만 개, 테스트 계정 11만 개 등 총 3,954만 개의 계정이 유출되었음을 확인하였습니다.

티빙의 계정은 동일인이 다수의 계정을 보유할 수 있는 구조로서 중복이 포함되어 있으며, 실제 1명의 이용자가 최대 13개의 계정을 보유한 사례를 확인하였습니다.

또한, 가입 방식 기준으로도 티빙 자체 가입으로는 726만 개, CJ ONE 통합회원으로 863만 개, 그리고 SNS 간편가입으로 2,247만 개의 가입으로 확인되었습니다.

조사단은 유출 정보가 ID, 일방향 암호화된 비밀번호, CJ ONE 통합 ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보 등 20개 항목 70여 종임을, 70종임을 확인하였습니다.

유출 항목 중 휴대전화 번호와 이메일 주소는 일부 암호화된 상태로 유출되었으나, 암호화키 또한 유출됨으로써 복호화가 가능하였고 조사단은 평문으로 유출된 정보와 동일한 수준으로 판단하였습니다.

한편, 비밀번호는 일방향 암호화된 상태로 유출되어 평문으로는 복호화가 불가능한 상태임을 확인하였습니다.

다만, 연계정보 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이가 존재하였습니다. 특히 연계정보 보유 계정의 경우에는 더 많은 정보가 유출된 것으로 나타났습니다.

유출정보를 분석한 결과, 연계정보 보유 계정 1,904만 개에서는 평균 11.1개 항목, 연계정보가 미보유한 계정 2,040만 개에서는 평균 4.6개의 항목이 유출된 것을 확인하였습니다.

특히, 연계정보 미보유 계정의 경우에는 서비스의 유료결제 또는 성인인증을 위한 본인인증 절차를 거치지 않은 만큼, 성명, 휴대전화 번호, 이메일 주소 등의 정보가 누락되었거나 유효하지 않은 부정확한 데이터인 경우도 다수 존재함을 확인하였습니다.

구체적인 개인정보의 유출 규모는 개인정보보호위원회에서 유출 항목에 대한 상세 분석을 통해서 발표할 예정입니다.

이용자 정보 유출 관련 현재까지 이용자 피해 사례를 확인한 바는 없습니다. 다크웹을 통한 불법거래 또는... 불법거래나 유통 정황도 아직까지 탐지되지 않았음을 말씀드립니다.

다음으로, 사고원인 분석을 말씀드리겠습니다.

조사단은 공격자가 티빙 개발자의 개발환경 접속키를 탈취하고, 탈취하여 시스템 내부에 침투한 것을 확인하고 이에 따른 유출 경로를 개발환경 침투, 운영환경 접근 및 운영환경 접속키 탈취, 운영환경 침투 그리고 1차 유출 시도, 2차 유출 시도 및 대규모 정보유출 등의 이 5단계로 구분을 하였습니다.

첫 번째, 개발환경 침투 및 프로젝트 유출입니다.

공격자는 개발자가 보유하고 있는 개발환경 접속키를 사전 탈취하여 티빙 개발환경에 무단 접속하였습니다. 그 이후 개발환경 접속키를 악용하여 개발환경에서 접근 가능한 개발 프로젝트 361건 전체를 유출하였습니다.

공격자는 1차 공격 당시 14개의 개발 프로젝트를 유출하고 2차 공격에서 361개의 개발 프로젝트 전체를 유출한 것을 확인하였습니다.

조사단은 최초 개발환경 접속키 탈취경로 확인을 위해서 악용된 개발환경 접속키를 이용하고 있는 개발자를 특정하여 단말기 포렌식 분석을 실시하였고 피싱, 악성코드, 공급망 공격, 개발환경 접속키 공유 및 오남용, 취약점 악용 등 다양한 공격 시나리오를 정밀 분석하였으나 확인하는 것은 불가능하였습니다.

다만, 그 과정에서 키 관리체계의 부실, 로그 보관기관의 한계 등 티빙 정보보호 관리체계상의 문제점은 확인하였습니다.

두 번째, 운영환경 접근 및 관리권한이 부여된 운영환경 접속키 탈취입니다.

공격자는 유출한 개발 프로젝트 내에 소스코드에 저장된 티빙 운영환경에 침투할 수 있는 운영환경 접속키를 확보하였습니다.

조사단은 당시 티빙이 보유한 개발 프로젝트 361건에서 총 43개의 운영환경 접속키가 포함되어 있음을 확인하였습니다.

조사단은 공격자가 티빙 운영환경 침투가 가능했다고 판단한 사유로 티빙 운영환경 접속키를 소스코드 내부에 숨김없이 그대로 노출한 채 사용하는 하드코딩과 암호화 처리를 통해 숨김없이 평문 저장하는 두 가지 문제점이 있음을 확인하였습니다.

세 번째로, 운영환경 침투 및 데이터베이스 접속경로 확보입니다.

공격자는 확보한 운영환경 접속키로 운영환경 내부에 접근하였습니다. 그 이후 키 권한과 함께 정보유출에 활용할 수 있는 도구를 탐색하였습니다.

조사 결과, 조사단은 공격자가 총 43개의 운영환경 접속키 중 2개의 키를 공격 환경에 악용한 것을 확인하였습니다.

이어 내부 시스템을 탐색하는 과정에서 이용자 정보가 저장된 데이터베이스에 접근할 수 있는 ID와 비밀번호가 저장된 접속 정보도 암호화되어 있지 않고 평문으로 저장되어 있는 것을 확인하고 이를 탈취하였습니다.

네 번째, 1차 정보유출 시도입니다.

공격자는 확보한 운영환경 접속키와 데이터베이스 접속 정보를 활용하여 클라우드 저장소에 정보유출형 공격 도구를 삽입하고, 해당 저장소와 연동된 데이터베이스를 접속하여 이용자 정보조회 및 정보유출을 시도하였습니다.

다만, 1차 유출 과정에서 데이터베이스 서버의 작업량 과다로 인해서 서버 CPU 이용률이 100%로 급상승함에 따라 이상징후 알람이 발생하였습니다. 티빙은 이 이상징후 알람을 확인하고 해당 작업을 차단 조치하였습니다.

다섯 번째로, 2차 정보유출 시도 및 대규모 정보유출입니다.

공격자는 가상서버 생성 권한이 있는 1차 정보유출 시도에 사용했던 키와는 별개로 또 다른 운영환경 접속키를 이용하여 운영환경 내부에 가상 서버를 생성한 이후 이를 정보유출을 위한 통로로 악용하여 대규모 정보유출을 하였습니다.

데이터베이스에 있는 이용자 정보를 공격자가 생성한 가상서버로 일괄 저장하고 외부에 있는 서버로 유출하였습니다. 그 이후 관련 흔적을 없애기 위해 가상서버를 삭제하였습니다.

이 과정에서 1차 시도와는 달리 데이터베이스 서버 작업량 과다로 인한 이상징후 알람은 발생하지 않았습니다.

조사단은 공격자가 이상징후 알람이 발생하지 않도록 CPU 이용률을 제한하여 공격하였을 것이라고 판단하였으며, 실제 공격 당시에 CPU 점유율은 10% 이내로 유지됨을 확인하였습니다.

조사단은 조사를 통해서 티빙의 키 관리체계, 비정상 행위 탐지 및 대응 관련된 모니터링 체계, 정보보호 거버넌스 그리고 정보보호 활동 등의 문제점을 발견하고 재방... 재발 방지 대책을 마련하였습니다.

먼저, 키 관리체계상의 문제점입니다.

조사단은 티빙의 키 관리체계가 잘 정비되어 있었다면 개발 환경에 접근하는 것을 차단할 수 있었으며, 운영환경에 접속하지 못했을 것이라 판단하였습니다.

티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출하거나 암호화 처리를 통한 숨김없이 평문으로 저장하였습니다. 또한, 사내 메신저 등을 통해서 타인과 무분별하게 공유한 사실도 확인하였습니다.

접근권한은 업무 목적에 따라서 필요 최소한의... 최소한으로 부여해야 함에도 불구하고 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여하였습니다. 이로 인해 단 1개의 개발환경 접속키가 탈취당한 경우에도 모든 개발 프로젝트에 접근할 수가 있었습니다.

또한, 키 발급에, 발급·사용·변경·폐기 및 정기점검 등을 통해서 관리 절차를 수립해야 함에도 불구하고 관련 체계가 부재하였습니다.

이에 대한 재발방지 대책으로 티빙은 키 관리·통제·접근권한 체계를 구축하고 운영관리 기준을 명확히 해야 합니다. 또한, 키 발급·사용 이력 관리를 위한 체계 구축 및 상시 점검을 실시해야 합니다.

다음으로, 비정상 행위 탐지·대응 및 모니터링 체계 부재입니다.

조사단은 비정상 행위 탐지를 위한 모니터링 및 차단체계가 잘 구축되어 있었다면 대규모 이용자 정보 유출까지 이르지 못했을 것이라고 판단하였습니다. 티빙은 CPU 부하 등을, 부하 등 단순 모니터링에만 의존하였으며 네트워크 및 데이터 흐름을 실시간 탐지·차단할 수 있는 정보보호 체계가 부재하였습니다.

또한, 권한 없는 자의 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책도 부재하였습니다.

이에 따른 재발방지 대책으로는 티빙은 비정상 행위 탐지 및 대량 데이터 조회 모니터링 체계를 강화해야 합니다. 그리고 인가된 사용자의 단말기에 한해 시스템 내부에 접근할 수 있도록 접근제어 정책을 강화하여야 합니다.

다음으로, 정보보호 거버넌스 미흡입니다.

티빙은 전체 직원은 임직원은 265명, 개발인력은 149명 규모임에 반해 정보보호 전담인력은 4명 내외로 구성되어 있습니다. 조사단은 현 인력 수준으로는 상시 보완관제, 취약점 점검 및 비정상 행위 모니터링 등 다양한 정보보호 활동을 수행하는 데 한계가 있을 것으로 판단하였습니다.

이와 함께 침해사고 발생 시 초동조치를 위한 부서 간의 신속한 상황 전파 및 협업체계가 미흡한 사실을 확인하였습니다. 실제 이상징후가 발생한 시점으로부터 약 14시간이 지난 이후에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자에게 상황 공유가 된 사실을 확인하였습니다.

이에 따른 재발방지 대책으로는 티빙은 충분한 정보보호 전담인력과 예산을 확보하고 정보보호 전담부서의 역할 및 부서 간 협업·대응체계를 재정립하여야 됩니다.

마지막으로, 정보보호 활동 미흡입니다.

티빙은 2024년 실시한 모의해킹 결과 개발·운영 환경의 접속키를 소스코드 내부에 숨김없이 그대로 노출하는 취약점을 발견하였음에도 불구하고 개선 조치를 하지 않았습니다. 또한, 시스템 접속 기록을 관리하고 있으나 선별적 저장·관리로 인해서 신규 장비에서는 로그관리 정책이 제대로 적용되지 않아 약 6일간의 접속 기록만 보관하고 있었습니다.

조사 과정에서 업무용 PC 대상 백신 소프트웨어 설치 및 최신 버전 관리 등 정기적 보안점검이 미흡한 사실도 확인하였습니다.

이에 따른 재발방지 대책으로는 티빙은 로그의... 로그 저장관리 정책을 수립하고 모의해킹 등 주기적 취약점 점검을 실시하고 발견된 취약점에 대한 조치체계를 강화해야 합니다. 아울러, 자체 보안규정 준수 여부를 정기적으로 점검하고 미준수 사항을 즉각적으로 개선할 수 있는 관리체계를 구축하여야 합니다.

마지막으로, 법 위반사항에 대해서 말씀드리겠습니다.

티빙은 정보통신망법 제48조 3항에 따라 정... 침해사고를 인지한 후 24시간 이내에 과기정통부 또는 KISA에 신고를 해야 합니다. 그러나 티빙 정보보안팀에 상황을 전파한 시점인 2026년 5월 31일 10시 10분으로부터 24시간이 초과한 2026년 6월 1일 15시 08분에 KISA에 신고하였습니다. 이에 따라 과기정통부는 정보통신망법에 따른 3,000만 원 이하의 과태료를 부과할 예정입니다.

과기정통부는 이번 조사단의 조사 결과를 토대로 티빙의 재발방지 대책에 따른 이행계획을 제출토록 하고 티빙의 이행 여부를 점검할 계획입니다.

이행점검 결과 보완이 필요한 사항에 대해서는 정보통신망법에 따른 시정조치를 명령할 계획임을 말씀드립니다.

이상으로 티빙 침해사고에 대한 조사 결과 발표를 마치겠습니다. 추가로 설명이 필요한 부분에 대해서는 질의응답 과정을 통해 상세히 설명해 드리도록 하겠습니다. 감사합니다.


(17:19)
[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 안녕하세요? 두 가지 질문 있는데요. 티빙이 1차 공격 시도 때 이상징후 알림을 받고 차단조치를 했다고 했는데 일반적으로 해커가 해킹을 시도할 때 당연히 1차 공격 시도 이후에 후속 공격을 단계적으로 감행하는 케이스가 매우 많기 때문에 사실 이때 추가 공격을 막을 수 있는 골든타임이었다고 보여지는데 티빙 측에서는 단순히 차단조치 외에 다른 어떤 후속 보완 작업이 전혀 없었는지 일단 여쭤보고요.

그리고 두 번째는 개정 개보법과 개정 정보통신망법 적용 대상인지, 개보법의 경우 개보위 소관이긴 한데 이게 법적으로 봤을 때 징벌적 과징금 대상인 고의·중과실 사안에 해당하는 케이스인지 여쭤보겠습니다.

<답변> 먼저 첫 번째 답변에 제가 말씀을 드리고 혹시 부족한 부분에 대해서는 저희 부단장이 추가로 설명을 드리겠습니다.

당초 1차 시도할 때 티빙에서 이게 해킹이라는 사실을 바로 알았다면 그에 대한 조치를 했을 겁니다. 그런데 그때 당시 1차 시도에서는 CPU가 100% 올라갔다는 사실은 일반적인 시스템의 어떻게 보면 CPU 과다 사용으로 봤고 이것을 해킹으로 보지를 않았습니다. 그렇기 때문에 그 당시에 사실은 접속 차단 외에 추가적인 조치를 안 했고 그래서 2차적인 추가적인 사건이 발생하게 된 겁니다.

그리고 두 번째로 말씀하신 이 사건 개보법과 강화된 정보통신망법의 대상이냐, 지금 아직 개정된 정보통신망법의 시행일은 10월 1일입니다. 그래서 망법의 대상은 아니고 개인정보보호법은 9월 11일입니다. 그래서 이 두 가지 사안 이전에 지금 5월 30일 이 시기에 발생한 사안이기 때문에 이 두 가지 법의 대상은 아닙니다.

<답변> (박용규 KISA 디지털위협대응본부장) 부단장을 맡고 있는 KISA 박용규입니다. 많은 기업들이 문제가 생겼을 때는 보안조치 노력을 분명히 수행을 합니다. 다만, 이번 티빙 건에는 1차 시도 때는 보안 알람이라기보다는 시스템 이상 알람이었기 때문에 그 이후에 티빙이 이런 조치가 어떤 사항인지에 대해서 계속 조사를 하고 있었습니다. 그 와중에 2차 시도가 같이 발생된 사건으로 이해를 하시면 좋겠습니다.

<질문> 질문 기회 주셔서 감사합니다. 자료를 보면 3,954만 명의 피해 계정, 정보유출 관련해서 중복 계정이 상당한 것으로 보이는데요. 실제 피해자 수나 규모로 본다면 어느 정도인지 특정해 주시면 좋을 것 같고요.

그리고 내용 중에 개발환경 접속키가 탈취된 것이 모든 문제의 시작이었던 것 같은데 이 탈취자가, 누가 어떤 경로로 한지는 끝내 결국은 파악하지 못한 건가요? 그리고 해킹 방법이나 수법으로 공격자로 추정되는 대상이 있는지도 궁금합니다.

<답변> 지금 처음 말씀하신 3,954만 계정에는 다수의 지금 일단 중복이 포함되어 있습니다. 그래서 저희가, 저희도 이 중복을 제거하기 위해서 CI를 보유한 계정과 CI를 보유하지 않은 계정으로 먼저 구분을 하였습니다. CI를 보유한 1,904만 개에 대해서는 CI를 보유했기 때문에 저희가 중복의 개수를 정확히 찾아낼 수가 있었습니다. 약 580만 계정의 중복이 발생한 것을 저희가 찾아냈고요.

그런데 연계 정보를 보유하지 않은 2,040만 개의 계정에 대해서는 저희가 중복 여부를 확인할 수 있는 방법을 찾지 못했습니다. 왜냐하면 이 미보유 계정 2,040만 개는 사실 CI를 보유한 계정과의 중복이 있을 수가 있고 CI를 미보유한 계정 내에서도 중복이 있을 수가 있습니다.

그래서 저희가 말씀드린, 전체 개수를 말씀을 드리고 여기에 다수의 중복이 있다는 말씀만 드렸고 정확하게 저희가 그 중복 숫자를 확인할 수 없었기 때문에 이 부분은 개보위의 조사 과정에서 보다 상세히 확인될 것이라고 말씀드립니다.

그리고 두 번째로, 공격자가 유출한, 공격자를 찾는 게 저희도 목표였습니다. 그래서 사실 이 티빙 조사기간이 상당 기간 걸렸던 이유가 이 조사, 최초의 공격자를 찾기 위해서 저희도 아까 말씀드린 다양한 공격 시나리오를 다 한번 조사해 봤습니다.

첫 번째로, 피싱. 일단은 공격자가 피싱을 통해서 이 개발환경 접속키를 유축할... 유출할 가능성이 있어서 이 피싱 여부에 대해서 조사했고요. 그다음에는 악성코드를 사실은 보내서 이 개발환경 접속키를 탈취할 수도 있습니다.

그리고 세 번째, 공급망 보안, 그다음에 네 번째, 접속키 오남용, 마지막 취약점 분석 이렇게 말씀드린 이유가 이게 다 지금 시나리오입니다. 공격자들이 대표적으로 사용하는 시나리오라서 이 모든 시나리오를 저희가 다 확인했는데 사실은 저희는 공격자를 확인하지 못했습니다.

그런데 지금 이 사건이 동시에 경찰에서 수사 중입니다. 그래서 경찰의 수사를 통해서 이 부분은 밝혀질 것이라고 저희는 기대하고 있습니다. 이상입니다.

<질문> 안녕하세요? 저는 아까 질문이 조금 겹치긴 하는데 CI가 유출된 1,323명 가운데 휴면하고 탈퇴 이용자가 각 얼마나 포함됐는지 대략적인 수치 공유해 주실 수 있으면 감사하겠고요.

그리고 CI는 사실 이용자가 직접 변경하기 어려운데 대규모 유출에 대해 정부가 검토하고 계신 기술적 구제수단이 있는지 궁금합니다.

그리고 마지막으로, 현재 유출된 계정 중에서 CI까지 계속 보유할 법적 근거와 필요성이 있었는지, 보존 기간이 좀 지나거나 불필요하게 CI를 보관한 사례가 있었는지 알려주시면 감사하겠습니다.

<답변> 질문이 세 가지인데 제가 혹시 다 답을 못 하면 다시 한번 말씀해 주시기 바랍니다. 일단 먼저, CI를 보유한 계정 중에서 휴면계정과 탈퇴계정이 얼마 되느냐, 지금 그 자료는 지금 저희가 바로 갖고 있지는 않고요. 일단은 이거는 저희가 확인할 수 있습니다. 그거는 확인한... 확인하고 말씀드리겠습니다.

두 번째, CI의 의미에 대해서 사실은 저희보다는 이 사안은 방송통신미디어... 방송미디어통신위원회에서 이 업무를 담당합니다. 그래서 방송미디어통신위원회의 입장을 저희가 받았습니다. 그래서 일단 그걸 먼저 말씀드리면, CI... CI는 일단은 사실은 이용자가 바로 접속할 수 있는 정보가 아닙니다. 이용자가 직접 입력하는 ID나 비밀번호와 같은 정보가 아니기 때문에 사실은 이거를 통해서 직접 로그인이나 불법거래에 악용될 가능성은 굉장히 낮습니다.

그런데 이 CI값이 어쨌든 다른 개인정보와 결합될 때는 개인을 특정할 수 있습니다. 그렇기 때문에 저희가 CI값이 있으면 스미싱·피싱 등에 악용될 가능성을 배제할 수 없다, 라고 저희는 보고 있고요. 그래서 이거는 소관부처인 방미통위가 연계정보 보호방안 등 대응책을 지금 현재 마련 중에 있습니다.

마지막 질문을 제가...

<질문> ***

<답변> 그게 지금 약간은 두 가지 질문이 혼동되어 있는데요. 보통 활성화 계정, 비활성화 계정인 어떻게 보면 탈퇴와 휴면계정을 보유할 필요가 있었느냐, 이게 거기에 또 CI값이 같이 있기 때문에 그거와 같이 연결된 질문인데요.

그것은 이제 티빙의 경우에는 조항을, 전자상거래법입니다. 전자상거래법에 계약철회에 관련된 기록은 5년까지 추가로 보유할 수 있고요. 소비자 분쟁과 관련된 기록은 3년 동안 보관하도록 규정하고 있습니다. 그래서 그 해당 정보가 정확히 계약철회에 관련되거나 분쟁에 대비한 기록인지는 사실 하나씩, 하나씩 다 확인해야 됩니다. 그래서 이 부분도 개인정보보호위원회의 조사 과정에서 명확히 밝혀질 것으로 저희는 생각하고 있습니다.

<질문> 아까 첫 번째 주셨던 답변이 좀 헷갈려서요. 자료 13페이지 보면 13페이지 하단에 조사단이 판단한 인지 시점 부분에, 그러니까 티빙이 10시, 그러니까 31일 10시 10분에 정보보안팀에 상황을 전파했는데 그때 운영환경 접속키 탈취 그리고 정보유출 의심 상황 전파를 공유했다, 이렇게 나와 있거든요. 이 내용과 아까 처음에 설명 주셨던 단순히 CPU 과부하로 판단했다, 라는 게 조금 상충되는 거 아닌가 하는 생각도 들어서 이 부분에 대한 설명 좀 부탁드립니다.

<답변> 이 부분에 대해서는 저희 부단장이 답변드리겠습니다.

<답변> (박용규 KISA 디지털위협대응본부장) 아까 잠깐 말씀드린 것처럼 보안로... 보안 알람이 뜬 게 아니라 시스템 이상 알람이 떴었습니다. 그래서 최초의 알람 이후에 티빙은 이게 어떠한 건인지에 대해서 상세히 분석하기 시작했고요. 그 과정에 뭔가 무단 데이터가 유출되고 있음을 확인하고 그거를 내부 부서 간 정보 공유를 진행하게 된 것입니다.

그래서 여기에 있는, 그 13쪽의 아래쪽에 보면 티빙이 신고한 인지 시점 혹은 조사단이 판단한 인지 시점 그리고 실제 신고 시 입력한 인지 시점이 좀 다를 수가 있습니다. 그래서 기자님 생각하실 때는 이게 너무 늦거나 그런 거 아닌가, 라고 말씀하실 수는 있지만 최초의 알람 이후에 내부적으로 판단하는 시간이 분명히 소요됐을 것이고 그 시간이 반영된 부분이라고 이해하실 수가 있겠습니다.

<질문> 혹시 추가 질문 좀 드려도 될까요? 그래서 그러면 티빙에서 그다음에 접속 차단을 했다고 하셨잖아요. 차단은 구체적으로 그럼 접속키 자체를 차단시킨 건가요? 아니면 그 차단을 어떻게 했다는 건지 설명 좀 부탁드립니다.

<답변> (박용규 KISA 디지털위협대응본부장) 1차 유출 시도가 DB에서 정보를 읽어오는 거를 확인했습니다. 그러니까 CPU가 100%가 기록됐다, 라고 브리핑문에 있지 않습니까? 이상 상황이 생겼고 이게 어떤 상황이냐, 라는 것 때문에 그 당시에 데이터 유출이 시도가 되고 있었음을 확인했고 그거 자체를 차단했습니다. 그래서 차단 이후에는 추가적인 유출이 없었지만 공격자가 1차 시도 때 차단이 됐기 때문에 다시 2차 시도를 해서 그때는 데이터를 다른 경로로 유출할 수 있었던 것입니다.

<질문> 사고 인지 시점 아까 여기 차이난 거에서 추가적으로 질문드리고 싶은 게 있는데 그게 보고체계의 문제인 건지 아니면 인적 관리의 문제인 건지가 궁금하고요.

다음으로, 이번에 티빙 사태에서 티빙 자체 측에서 조치를 진행했었어요. 그런데 CJ ONE ID만 비밀번호를 강제적으로 변경하는 등의 조치가 있었고 차별적으로 CJ, 일반 티빙 계정들은 조치가 전혀 진행되지 않았는데 이런 차등적 조치에 대해서도 어떻게 보고 계신지 궁금합니다.

<답변> (박용규 KISA 디지털위협대응본부장) 일단 첫 번째 질문사항에 대해서 답변드리겠습니다. 일단 인적체계, 보고체계 모두 문제가 있었다고 판단하고 있습니다. 그래서 후속조치 사항으로 전체적인 관리체계에 대해서 강화할 것을 주문하고 있는 부분이고요.

그리고 CJ ONE ID만 강제 변경을 한 이유는 티빙 ID를 통해서 많은 서비스 연결돼 있기 때문에 저희가 조사 초기에 다른 서비스로의 피해 확장이 굉장히 중요한 이슈였었습니다. 그래서 그런 어떤 가능성들에 대해서 미연에 차단하고자 일단 먼저 보안조치를 먼저 적용한 부분입니다.

<질문> ***

<답변> (박용규 KISA 디지털위협대응본부장) 네, 실질... 실제 관련돼서 피해가 발견되거나 저희한테 접수된 그런 사항은 아직까지는 없습니다.

<질문> 안녕하세요? 방금 답변해 주신 거하고 좀 연결될 것 같기는 한데요. 추가적인 피해 가능성 관련해서 여쭤보려고 합니다. CJ ONE 통합회원 그리고 SNS 간편가입 계정에서도 유출이 됐는데 이 공격자가 확보한 정보나 인증수단 등을 이용해서 이 CJ ONE이나 네이버·카카오 등의 외부 연계 서비스에 추가 개인정보 접근이 가능한지, 가능할 수 없다고 확정할 수 있는지가 궁금한데요. 이번 사고의 영향 범위가 티빙이 보유한 연계정보에 한정된 것으로만 봐도 되는지 답변 부탁드리겠습니다.

<답변> 지금 SNS를 가입한 사람의 정보가 어디까지 갔느냐에 대해서 많은 사람, 많은 분들께서 궁금해 하십니다. 그래서 조금 자세히 설명을 드리겠습니다. 일단 네이버·카카오·페이스북·X·애플 등을 통해서 사실은 이 티빙을 가입을 추가로 할 수가 있고요.

이때 이 SNS에서 실제적으로 넘어가는 정보는 이름과 이메일 주소만입니다. 네이버는 출생연도와 성별, 이렇게 네 가지가 넘어가게 되고요. 통상은 이름과 이메일 주소만 넘어가고 사실 그 시점에서 티빙에서 다시 본인확인을 하게 됩니다. 그러면 티빙이 그때 수집하는 정보가 휴대전화 번호 그다음에 아까 말씀드린 연계정보, 중복가입 확인 정보인 DI, 생년월일, 성별 등을 수집하게 됩니다.

그래서 아까 말씀드린 SNS에 있는 정보가 자동적으로 넘어가지는 않는다, 라고 말씀드릴 수 있습니다. 그래서 티빙의 정보가 유출됐다고 자연적으로 SNS 정보가 동시에 유출되거나 그럴 위험성은 없다, 라고 말씀드리겠습니다.

<질문> 사후 대책 중에 좀 궁금한 게 있는데요. 티빙은 충분한 정보보호 전담 인력과 예산을 확보해야 한다고 할 때 '충분하다.'라는 뜻을 저희가 어떻게 전달해야 되는지가 조금 헷갈리는 게 하나 있습니다. 가령, 지금 4명인데 이런 정도가 충분하다고 판단하시는지, 조금은 가이드를 주셨으면 좋겠고요.

이거는 답변이 가능하시면 주셨으면 좋겠는데, 개인적으로 너무 궁금해서. 동일인이 13개의 계정을 만들 수 있는 경우의 수가 어떻게 나오는 건가요? 이게.

<답변> 일단은 조금 이해를 돕기 위해서, 일단은 가입 방식을 저희가 설명을 먼저 드리겠습니다. 티빙 자체가입하고 CJ ONE 통합회원, SNS 할 때 SNS가 다섯 가지 방법으로 가입할 수가 있고요. 그리고 기타 방식으로도 추가적으로 쿠폰 방... 쿠폰이나 이런 테스트... 쿠폰 등을 이용해서 가입하는 방법이 있습니다.

일단은 저희가 보통 하면 하나를 가입하면 중복체크를 해서 다른 것을 가입을 못 해야 되는 게 통상적인 방법인데 티빙은 그 성장 과정에서 이렇게 중복성을 초기에 체크를 하지 않은 것 같습니다... 않은 걸로 판단됩니다.

그래서 실제 자체 가입 내에서도 중복계정이 있을 수가 있고요. 그다음에 이 CJ ONE 통합회정... 회원과도 이렇게 중복이 있을 수 있고 SNS 어떻게 보면 네이버로 가입할 때도, 카카오로 가입할 때도 어떻게 보면 동일인이 이렇게 여러 가지 방법으로 계속 가입을 할 수가 있었습니다.

그래서 저희가 CI를 가지고 있는, 저희가 명확하게 판별할 수 있는 그 계정에서 확인을 했던 게 13개의 계정이 같은 사람한테 확인된 게 발견되었습니다. 이거는 100% 일반적인 수치는 아니고요. 가장 많이 가입한 사람이 그 정도 있을 수 있다는 겁니다.

그리고 아까 말씀드린 충분한 인원, 일단은 이 부분은 저희가 결국에 상대적으로 다른 기업에 이 정도 규모의 보안 인력을 갖춘, 어떻게 보면 유사 업종의 유사 기업과 비교하게 될 거고요.

일차적으로는 사실은 티빙에서 먼저 이거에 대한 제안을 합니다. 스스로 우리가 이만큼 확대하고 이렇게 하면 저희가 그때 이 인원과 이 정도 예산이 다른 기업과 적절한가, 이거에 대해서 사후 협의하고 검토하는 과정을 거쳐서 진행이 됩니다.

<질문> 앞에 나온 질문이긴 한데요. 최초 개발환경 접속키 관련해서 이게 여러 가지 시나리오를 검증했는데 확인이 되지 않았다, 라고 하시는 게 이게 로그 보관기관 밖에 있어서 확인이 안 된 건지 조금 더, 조금 더 구체적으로 말씀해 주시면 좋을 것 같고요.

또 한 가지는 이게 두 번째 공격에서 외부로 있는 서버로 유출된 게 확인됐다, 라고 하면 서버에 지금 풀지는 않았지만 해커가 이 서버에 쥐고 있는 걸 확인한 걸로 저는 이해가 되는데 그럼 이 서버 위치라든가 이런 거까지, 정보가 지금 어느 레벨까지 잡혀 있는, 그러니까 갇혀 있는지 그게 좀 궁금합니다.

<답변> 첫 번째 질문을 제가 잠깐, 두 번째 질문을 생각하다 잊어버려서 먼저 두 번째 질문부터 먼저 답변드리겠습니다. 일단은 이 정보가 국내가 아닌 해외 계정으로 나간 것을 저희가 확인했고요. 그런데 그거에 대해서는 저희가 통상적으로 해외 계정까지만 말씀을 드리고 이것도 또 수사의 영역입니다. 그래서 이 수사 과정에서 이 정확한 국가나 이런 내용들은 밝혀질 것으로 저희가 말씀드리겠습니다.

<답변> (박용규 KISA 디지털위협대응본부장) 제가 보강해서 말씀드리도록 하겠습니다. 첫 번째 질문에 대해서 로그 보관 밖이 맞습니다. 저희가 다양한 시나리오로 접근을 했고 그런 시나리오를 뒤받칠 만한 로그도 저희가 확인을 했습니다. 그리고 해당 PC나 노트북에 대한 포렌식 분석까지 다 수행했는데 그런 어떤 시나리오를 뒷받침할 만한 근거를 확인하지 못했다, 라는 점이고요.

두 번째, 서버 위치는 해외로 나간 흔적까지만 확인이 됐고 이 데이터가 해외 그 서버에 실제 남았는지 여부는 수사 영역을 통해서 해결해야 될 부분이라고 이해하실 수 있습니다.

<질문> 유출, 유출됐을 때 보면 티빙에서 보유하고 있던 게 하드 코딩해서 그냥 그대로 암호를 보유하고 있었다고 들었는데 이거의 경우에는 ISMS 인증기준에 명백히 위배되는 사안으로 보이는데 그러면 앞으로 우리가 이런 ISMS 인증을 받을 때 티빙처럼 인증받을 때는 하드카피로 가지고 있고, 그리고 실제로는 그렇지 않은 경우들이 많은 것 같은데 이런 실효성을 더하기 위한 대책이 있으신지.

그리고 KISA에서 인증 재검토라든지 인증 취소 등도 검토하고 계신지 궁금합니다.

<답변> 다시 한번 이 인증받은 기업에서 이러한 문제가 발생한 것에 대해서 저희가 어떻게 보면 죄송하다는 말씀을 드립니다.

저희가 지난번에 ISMS 지난 쿠팡 사고 이후에 ISMS 인증 제도 개편안을 이미 발표드렸고요. 그래서 사실 지금 있는 키 관리체계 이 문제점은 명확히 지금 ISMS에 규정되어 있는 부분입니다. 이렇게 관리해서는 안 되는 부분이고요.

그래서 저희가 ISMS 인증제 실효성 강화 방안을 하면서 인증 기준도 보다 강화를 했고 심사 방식도 실제 현장점검을 직접 가서 확인하는 방식으로 저희가 개편을 했습니다. 그래서 향후에는 조금 더 이 인증의 제도의 허술함이 없도록 저희가 최선을 다하겠습니다.

<질문> ***

<답변> 지금 인증 취소 관련된 제도도 지금 현재가 없어서 그 부분을 저희가 보완하고 있는 중입니다.

<질문> 이번에 노출된 계정 중에 CJ ONE 계정에 대해서 여쭙고 싶은데요. 연계정보 유출 계정이 1,904만 개고 여기서 빠져 나간 정보가 좀 더 많은데 이 CJ ONE 계정도 따로 863만 개로 돼 있어서 이 계정이 그냥 연계정보 유출 계정에 다 포함되는 건지, 아니면 이거를 중복해서 CJ ONE 계정이면서 보안, 연계정보 유출 계정은 몇 만 건인 건지 궁금하고요.

그리고 CJ ONE 계정은 제가 알기로는 직원들도 많아서 여기서 빠져 나간 정보도 많다고 알고 있는데 CJ ONE 계정에서 빠져나간 정보가 구체적으로 뭔지 또 궁금합니다.

그리고 마지막으로, 개발 프로젝트 361건에 대해서 언급이 됐는데 이걸로 인한 금전적 손실 규모 파악이 되는지 궁금합니다.

<답변> 먼저, 저희가 이렇게 여러 가지 방식으로 설명을 드리다 보니까 혼란을 겪는 숫자가 있는데요. 일단은 3,954만 계정을 활성화 계정과 비활성화 계정으로 나눠 본 거고요. 그다음에 두 번째는 가입 방식에 따라 자체 가입, CJ ONE, 간편 가입, 이걸 합치면 역시 3,954만 계정입니다. 그래서 같은 지금 계정을 가입 방식 그다음 활성화·비활성화 그다음에 CI가 있는 것, 없는 것, 저희가 세 가지 방식으로 구분을 해봤습니다.

그렇게 구분을 한 이유는 사실은 결국 유형에 따라서 약간 나간 정보들이 차이가 있을 수 있다, 라는 생각 때문에 저희가 그렇게 구분을 해서 조사를 했던 것이고요.

지금 말씀하신 CJ ONE의 회원 중에서 얼마 만의 정보가 나갔는지 거기까지는 저희들이 조사를 하진 않았습니다. 그래서 그 세세한 것은 개인정보보호위원회에서 이 부분은 추가적으로 규명이 될 것이라고 생각됩니다.

그리고 두 번째 말씀하신 개발 프로젝트 361건의 시장 가치에 대해서는 저희는 알 수는 없습니다. 티빙에 문의를 하셔야 될 것 같습니다.

<질문> 이번 조사 결과 발표 전에 당초 알려졌던 건 1,953만 명 정도의 개인정보 유출된 것으로 알려졌었는데, 오늘은 중복 계정들까지 해서 3,900만 건 이상의 정보 유출이 나왔잖아요. 그런데, 그러면 이게 중복도 있어서 정확한 숫자는 파악이 아직 어렵다고 하셨는데 앞서 알려졌던 1,953만 명의 숫자와 비교하면 이게 더 많은, 조사 결과 통해서 더 많게 나온 건지, 아니면 숫자는 더 적을지가 궁금하고요.

또 과징금 규모도 주목이 되는데 지금은 신고를 늦게 한 걸로 과태료 3,000만 원 이하의 정도로만 부과하겠다고 나와 있는데 과징금 같은 경우는 언제쯤 규모가 확정이 될지도 궁금합니다.

<답변> 일단 먼저 두 번째 질문인 과징금은 개인정보보호위원회에서 개인정보 유출 규모에 따라서 부과하는 것이 과징금이기 때문에 일단 아직까지 저희도 과징금 제도는 10월 1일 이후부터 시행이 됩니다. 그래서 저희 과학기술정보통신부에서 부과하는 과징금은 없습니다. 그거는 개인정보보호위원회에서 개인정보 유출 규모를 구체적으로 산정해서 그것을 그 이후에 과징금 규모를 산정하게 되고요.

그다음에 1,954만 계정이라는 것은 쿠팡에서... 죄송합니다. 티빙에서 스스로 개인정보보호위원회에 신고한 개인정보 유출한 어떻게 보면 계정 수입니다. 그렇기 때문에 그거는 아직 티빙에서 스스로 산정해서 자기들이 '중복을 제거해 보니까 이 정도 숫자인 것 같습니다.'라고 이렇게 리포팅, 보고를 한 수치이고 그 숫자는 아직 검증된 숫자가 아니라고 말씀드리겠습니다.

<질문> 안녕하세요? 다름 아니라 자료 보면 전체 임직원 265명, 개발인력 149명이라고 되어 있는데 전담인력 같은 경우에는 외주인력을 제외했다고 되어 있잖아요. 근데 확인해 보니까 작년 외주인력이 티빙이 투자한 게 4.6명 정도가 근무를 하고 있었더라고요, 정보보호 인력으로. 그런데 사실 전체 임직원하고 개발인력 규모에는 비정규직도 포함돼 있을 것 같은데, 외주인력도 포함돼 있을 것 같은데 왜 여기서는 외주인력을 제외하셨는지, 정보보호 인력에서는, 그 부분 여쭙고 싶습니다.

<답변> (박용규 KISA 디지털위협대응본부장) 저희가 발표를 할 때는 외주인력이라 하더라도 이 업무에 얼마나 반영을, 관여를 하고 있었는지를 보게 되는데요. 통상적으로 외주인력에 대한 부분이 업무가 명확하지가 않을 수 있습니다. 그래서 본 조사에서는 일단 제외를 했고, 순수하게 티빙이 자체적으로 얼마나 이 대응 인력을 전문적으로 보유하고 있는지에 기준으로 적용한 수차라고 이해를 하실 수가 있습니다.

<질문> KT 통해서 티빙 이용권을 사용한 고객 등 제휴서비스 이용자는 어디에 포함된 건지 궁금하고요. 결국 휴면·탈퇴 계정을 포함해서 티빙의 모든 계정이 유출됐다는 건지도 알고 싶습니다.

<답변> 지금 먼저 두 번째 말씀을 드리면 모든 계정이 유출된 건 맞습니다. 그래서 아까 보시면 비활성 계정, 활성 계정, 테스트 계정 모두가 다 유출된 게 맞고요.

그다음에 두 번째로, KT 보상쿠폰 부분은 저희가 보상쿠폰 수령 가입자 중에 정보가 유출된 숫자는 52만 7,000건으로 저희가 확인하였습니다. 이 내용은 다른 숫자에는 지금 포함되어 있지는 않습니다.

<질문> 안녕하세요? SKT·쿠팡 이렇게 계속 사고가 나면서 작년 말인가 정부가 사이버보안 대책을 마련한 걸로 알고 있는데 그럼에도 불구하고 지금 또 티빙 사고가 5월에 난 거잖아요. 그러면 정부의 그런 종합대책이 나왔는데 그 효과가 언제쯤, 그러니까 '다시는 언제쯤 이런 사고가 안 일어날까요?'가 궁금해서 전화드립... 질문드렸습니다.

<답변> 참 어려운 질문해 주셨습니다. 일단 향후계획 부분에 저희가 보도자료에는 있습니다, 이 부분을 저희가 말씀을 안 드린 것 같은데요. 일단 기본적으로 사고는, 저희가 과거에는 사고 자체를 줄이려고 목표를 세우고 사고 건수를 줄이려고 했는데 실제 앞으로 공격자는 사실 AI 도움을 받아서 더 강력해지고 사실 더 빈번해질 겁니다.

그래서 지금 정부의 정책은 사고가 일어났을 때 가장 빨리 이것을 대응하고 대책을 해서 국민들의 피해를 줄이는 쪽으로 사실 전환되어 있다고 말씀드리고요.

그럼에도 불구하고 저희 정부 1차, 2차 종합대책을 통해서 지금 말씀하신 수많은 조치들을 저희가 제도를 먼저 많이 만들었습니다. 그런데 그 제도가 지금 다음 달 그리고 이번 달, 개인정보보호위원회에서는 11일, 9월 11일 부로 시행이 되고요. 그다음에 과학기술정보통신부에서는 10월 1일부터 시행이 됩니다.

거기서 가장 중요한 부분을 몇 가지만 말씀드리면 이제는 기업이 신고를 하기 전에도 정부가 즉시 해킹 사고 정황이 발생하면 조사를 착수할 수 있고요. 그리고 재발방지 대책을 불성실한 기업에 대해서는 이행강제금도 부과하고 아까 말씀하신 여러 과징금, 그다음에 여러 가지 과태료도 대폭 인상되었습니다.

그리고 그보다도 먼저 기업들이 스스로 정보보호 인력과 예산을 확충하도록 저희가 공시제도도 확대를 하고요. 그다음에 바로 시행되는 건 아니지만 정보보호 수준평가라는 제도도 1년의 유예기간이 있습니다. 그런 제도를 수행함으로써 기업들이 보다 정보보호 부분에 더 많은 투자를 하도록 유도하고 있습니다.

이러한 대책이 사실은 종합적으로 다 이루어져야지 조금씩 변화가 시작될 것이라고 말씀드릴 수 있겠습니다. 감사합니다.

<답변> (사회자) 예정된 시간이 다 지났습니다. 이상으로 브리핑을 마치겠습니다. 감사합니다. 수고하셨습니다.

<끝>