온라인동영상서비스(OTT) 티빙의 대규모 개인정보 유출 사고 당시 정보보호 전담인력은 4명 내외였던 것으로 조사됐다. 전체 임직원 265명, 개발인력 149명 규모에 비해 정보보호 전담인력이 부족해 상시 보안관제와 취약점 점검 등에 한계가 있었다는 게 조사단의 판단이다.

해킹 이상징후가 발생한 뒤 침해사고 대응을 총괄하는 정보보호 최고책임자(CISO)에게 상황이 전달되기까지 약 14시간이 걸렸다. 한국인터넷진흥원(KISA)에 침해사고를 신고한 시점도 법정 기한인 사고 인지 후 24시간을 넘긴 것으로 나타났다.

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만 개 계정의 정보와 소스코드가 포함된 개발 프로젝트 361건(30.35GB)을 유출했다.

조사단에 따르면 티빙의 전체 임직원은 265명, 개발인력은 149명 규모였지만 정보보호 전담인력은 외주인력을 제외하고 4명 내외였다.

조사단은 이 같은 인력 규모로 상시 보안관제와 취약점 점검, 비정상 행위 모니터링 등 다양한 정보보호 활동을 수행하는 데 한계가 있었을 것으로 판단했다.

침해사고 발생 이후 내부 상황 전파와 대응 과정에서도 문제점이 확인됐다.

티빙 데이터베이스(DB) 서버에서는 5월 30일 오후 6시쯤 작업량 과다로 CPU 이용률이 100%까지 올라가는 이상징후가 발생했다. 하지만 침해사고 대응을 총괄하는 정보보호 전담조직과 CISO에게 상황이 공유된 것은 약 14시간 뒤였다.

티빙 자체 규정상 CISO는 보안사고 조사와 대응을 총괄한다. 조사단은 침해사고 발생 시 초동조치를 위한 부서 간 신속한 상황 전파와 협업체계가 미흡했다고 판단했다.

정부 신고도 법정 기한을 넘겼다. 현행 정보통신망법에 따르면 침해사고를 인지한 기업은 24시간 이내에 과기정통부 또는 KISA에 신고해야 한다.

티빙 정보보안팀에 사고 상황이 전달된 시점은 5월 31일 오전 10시 10분이었다. 티빙이 KISA에 침해사고를 신고한 것은 다음 날인 6월 1일 오후 3시 8분으로 24시간을 초과했다.

과기정통부는 신고 지연이 정보통신망법 위반에 해당한다고 보고 티빙에 과태료를 부과할 예정이다. 현행법상 3000만 원 이하의 과태료 부과 대상이다.


공격자의 비정상적인 움직임을 탐지하고 차단하기 위한 보안 체계도 미흡했던 것으로 조사됐다.

티빙은 CPU 부하 등 시스템 상태 모니터링에 의존했고 네트워크와 데이터 흐름에서 발생하는 비정상 행위를 실시간으로 탐지·차단할 수 있는 정보보호 체계를 갖추지 못한 것으로 나타났다.

네트워크·시스템 접근제어 정책도 미흡했다. 인가된 IP만 접근하도록 제한하거나 다중인증(MFA)을 적용하는 등의 보안 체계가 제대로 마련되지 않았다는 게 조사단의 판단이다.

접속기록 관리에서도 문제점이 확인됐다. 티빙은 시스템 로그를 선별적으로 저장·관리했고 신규 가상사설망(VPN) 장비에는 기존 로그관리 정책을 제대로 적용하지 않았다. 이에 따라 해당 VPN 접속기록은 약 6일 치만 보관돼 있었다.

업무용 PC의 백신 소프트웨어 설치와 최신 버전 관리 등 정기적인 보안점검도 미흡했던 것으로 조사됐다.

과기정통부는 티빙에 충분한 정보보호 전담인력과 예산을 확보하고 정보보호 전담부서의 역할과 부서 간 협업·대응 체계를 재정립하도록 요구했다.

비정상 행위 탐지와 대량 데이터 조회 모니터링을 강화하고 인가된 이용자와 단말기만 내부 시스템에 접근할 수 있도록 접근제어 정책도 강화하도록 했다.

과기정통부는 티빙에 재발방지 대책에 따른 이행계획을 이달 중 제출하도록 하고 2027년 1월 이행 여부를 점검할 계획이다. 점검 결과 보완이 필요한 사항에는 정보통신망법에 따라 시정조치를 명령할 방침이다.

yjra@news1.kr