‘500만 가입’ 티빙도 털렸다… OTT도 ‘보안 리스크’

구글에서 서울신문 먼저 보기

해커, DB에 비인가 접근 정황 확인
이름·아이디·계좌번호·비번 등 노출
작년에도 공격받아 “비번 변경을”
과기부, 원인·피해 규모 조사 착수

티빙 로고

국내 온라인동영상서비스(OTT) 티빙에서 회원 개인정보 유출 사고가 발생했다. 티빙은 해커의 비인가 접근으로 회원 정보가 유출된 정황을 확인하고 한국인터넷진흥원(KISA)에 신고했고, 피해 규모와 원인을 조사 중이다. 과학기술정보통신부도 중대한 침해사고로 보고 민관합동조사단을 구성했다.

티빙은 3일 홈페이지와 앱 공지를 통해 “지난 2일 개인정보 저장 데이터베이스에 대한 비인가 접근 및 파일 유출 정황을 확인했다”고 밝혔다. 유출된 정보는 아이디(ID), 이름, 생년월일, 성별, 휴대전화 번호, 이메일, 연계정보(CI), 중복가입확인정보(DI), 환불 계좌번호, 비밀번호, 서비스 이용 관련 정보 등이다. 또 휴대전화 번호 일부와 이메일 일부, 환불 계좌번호, 비밀번호 등은 암호화된 상태였다고 설명했다.

티빙은 주민등록번호와 결제 관련 유효 정보는 보유하고 있지 않아 유출 대상이 아니라고 설명했다. 다만 현재까지 정확한 유출 규모는 공개하지 않았다. 앱·리테일 분석 서비스 모바일인덱스 기준 티빙의 월간활성이용자는 지난 4월 약 770만명 수준이고, 유료 가입자 수는 약 500만명으로 추정된다.

티빙은 사고 인지 직후 공격자 IP 접근을 차단하고 클라우드 접근 통제 정책을 변경했으며, DB 접속 모니터링 강화와 추가 피해 방지를 위한 전면 보안 점검에 착수했다고 밝혔다. 또 티빙과 동일한 계정 정보를 사용하는 다른 서비스의 비밀번호도 변경할 것을 권고했다. 티빙은 지난해 12월에도 외부에서 확보한 아이디와 비밀번호를 무작위 대입하는 ‘크리덴셜 스터핑’ 공격을 받은 바 있다.



이용자들 사이에서는 CI·DI 정보 유출에 대한 우려도 나온다. CI는 본인 인증을 거친 동일 이용자를 식별하는 고유값으로, 다른 유출 정보와 결합될 경우 개인 식별 등에 악용될 가능성이 있다. 과기정통부와 KISA는 티빙 측에 자료 보전을 요구하고 사고 원인과 피해 규모 조사에 착수했다. 조사단에는 포렌식과 클라우드 서비스 분야 민간 전문가들도 참여한다. 최주희 티빙 대표는 이날 발표한 사과문에서 “이용자 정보를 지켜드리지 못한 책임은 전적으로 티빙에 있다”며 “피해 구제와 이용자 보호를 위해 끝까지 책임지겠다”고 밝혔다.

민나리 기자

세줄 요약

• 티빙, 비인가 접근으로 개인정보 유출 정황 확인
• 아이디·이름·CI·DI 등 다수 정보 포함
• 과기정통부·KISA, 민관합동조사단 구성