유출된 개인정보는 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종에 이른다. 비밀번호와 환불 계좌번호는 암호화된 상태로 유출돼 평문으로 복호화할 수 없는 것으로 조사됐다. 반면 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 복호화가 가능한 상태였다. 조사단은 이를 사실상 평문으로 유출된 것과 같은 수준으로 판단했다.
CI를 보유한 계정은 1904만개로, 계정당 평균 11.1개 개인정보 항목이 유출됐다. CI가 없는 2040만개 계정은 평균 4.6개 항목이 유출됐다. 비밀번호 자체가 노출된 것은 아니지만 전화번호와 이메일 등 피싱·스미싱에 악용될 수 있는 개인정보가 대규모로 노출된 만큼 2차 피해 우려도 커지고 있다.
과기정통부의 브리핑에서 나온 주요 질문과 답변을 아래와 같이 정리했다.
(사진=챗GPT)
Q) 1차 공격 시도 때 이상징후를 감지하고 차단했다면 후속 공격을 막을 골든타임이었던 것 아닌가. 추가 보완조치는 없었나.
A) 1차 시도 당시 CPU 100% 급등을 해킹이 아닌 일반적인 시스템 과부하로 판단해 접속 차단 외 추가 조치를 하지 않았다. 보안 알람이 아닌 시스템 이상 알람이었기 때문에 티빙이 원인을 분석하는 사이 2차 공격이 발생한 것으로 이해하면 된다.
Q) 개정 개인정보보호법·정보통신망법상 징벌적 과징금(고의·중과실) 대상에 해당하나.
A) 개정 정보통신망법 시행일은 10월 1일, 개인정보보호법은 9월 11일이다. 이번 사고는 5월 30일 발생해 두 법 시행 이전 사안이므로 적용 대상이 아니다.
Q) 3,954만 개 계정 중 중복을 제거한 실제 피해자 수는 얼마나 되나.
A) 연계정보(CI) 보유 계정 1,904만 개는 중복 확인이 가능해 약 580만 개의 중복을 찾아냈다. 반면 CI 미보유 계정 2,040만 개는 보유 계정과의 중복 여부, 미보유 계정 내 중복 여부를 확인할 방법이 없어 정확한 실제 피해자 수는 파악하지 못했다. 개인정보보호위원회 조사에서 더 상세히 확인될 것이다.
Q) 개발환경 접속키를 처음에 탈취한 경로(누가, 어떻게)는 결국 못 밝혀낸 건가.
A) 피싱, 악성코드, 공급망 공격, 접속키 오남용, 취약점 악용 등 5가지 시나리오를 모두 조사했지만 확인하지 못했다. 로그 보관 기간 밖에 있어 뒷받침할 근거를 찾지 못했다. 현재 경찰이 별도로 수사 중이며 수사를 통해 밝혀질 것으로 기대한다.
Q) 대규모 유출된 데이터가 실제로 넘어간 서버 위치까지 확인됐나.
A) 국내가 아닌 해외 계정으로 나간 것까지는 확인했다. 정확한 국가나 서버 소재지 등은 수사 영역이라 이번 조사에서는 밝히지 않았다.
Q) CI는 이용자가 직접 바꿀 수 없는데 정부가 검토 중인 기술적 구제수단이 있나.
A) CI는 이용자가 직접 입력하는 정보가 아니라 로그인이나 불법거래에 직접 악용될 가능성은 낮지만, 다른 개인정보와 결합되면 개인 특정이 가능해 스미싱·피싱 악용 가능성은 배제할 수 없다. 소관부처인 방송통신미디어위원회가 연계정보 보호방안을 마련 중이다.
Q) 탈퇴·휴면 계정까지 CI를 계속 보유할 법적 근거가 있었나.
A) 전자상거래법상 계약철회 관련 기록은 5년, 소비자 분쟁 관련 기록은 3년 보관 의무가 있다. 다만 유출된 정보가 실제로 이 보관 의무에 해당하는지는 개별 확인이 필요하며, 개인정보보호위원회 조사에서 밝혀질 것이다.
Q) 티빙이 신고한 인지시점과 조사단이 판단한 인지시점이 다른 이유는. 앞서 CPU 과부하로만 판단했다는 설명과 상충되지 않나.
A) 최초에는 보안 알람이 아닌 시스템 이상 알람이었고, 이후 티빙이 상세 분석에 들어가 무단 데이터 유출을 확인하고 나서야 내부 부서 간 정보 공유가 이뤄졌다. 신고 인지시점·조사단 판단 인지시점·실제 신고서 기재 인지시점이 각각 다를 수 있는데, 최초 알람 후 내부 판단에 소요된 시간이 반영된 결과로 이해하면 된다.
Q) 1차 시도 때 ‘차단조치’는 구체적으로 무엇을 차단한 건가.
A) DB에서 정보를 읽어가는 유출 시도 자체를 확인하고 그 작업을 차단했다. 이후 추가 유출은 없었지만, 공격자가 1차 시도가 막히자 다른 경로로 2차 시도를 감행해 유출에 성공했다.
Q) 사고 인지 지연이 보고체계 문제인가, 인적 관리 문제인가. 또 CJ ONE ID만 비밀번호를 강제 변경하고 일반 티빙 계정은 조치가 없었던 차등 대응은 어떻게 보나.
A) 인적체계·보고체계 모두 문제가 있었다고 판단하며, 전체 관리체계 강화를 후속조치로 주문하고 있다. CJ ONE ID만 강제 변경한 이유는 해당 ID로 연결된 서비스가 많아 다른 서비스로의 피해 확산을 조사 초기에 우선 차단하기 위한 조치였다.
Q) CJ ONE·SNS 간편가입 계정을 통해 네이버·카카오 등 외부 연계 서비스로 추가 피해가 확산될 가능성은 없나.
A) SNS 간편가입 시 넘어오는 정보는 통상 이름과 이메일 주소뿐이며(네이버는 출생연도·성별 포함 4가지), 이후 티빙이 별도로 휴대전화번호·연계정보(CI)·생년월일 등을 직접 수집한다. 따라서 티빙 정보 유출이 SNS 정보 유출로 자연히 이어지진 않는다.
Q) “충분한 정보보호 인력·예산”이라는 재발방지 대책에서 ‘충분함’의 기준은 무엇인가.
A) 유사 업종·유사 규모 기업과의 비교를 통해 판단한다. 우선 티빙이 스스로 확대 계획을 제안하면, 이 인원과 예산이 다른 기업과 비교해 적절한지 사후 협의·검토하는 절차를 거친다.
Q) 동일인이 최대 13개 계정을 만들 수 있었던 구조는 무엇인가.
A) 티빙 자체가입, CJ ONE 통합회원, SNS 간편가입(5종), 기타(쿠폰 등) 등 다양한 가입 경로가 있는데, 서비스 초기 가입 시 중복 체크를 하지 않아 동일인이 여러 경로로 중복 가입할 수 있었다. CI로 명확히 판별 가능한 계정 중 최다 13개 중복 사례가 확인됐으며, 이는 일반적 수치가 아닌 최다 사례다.
Q) 티빙이 하드코딩된 접속키를 그대로 보유한 것은 ISMS 인증기준 위반 아닌가. 인증 심사의 실효성 제고 방안과 KISA의 인증 재검토·취소 검토 여부는.
A) 인증받은 기업에서 이런 문제가 발생한 데 대해 유감스럽다. 키 관리체계 문제는 ISMS에 명확히 규정된 사안으로, 지난 쿠팡 사고 이후 이미 ISMS 인증제 실효성 강화 방안을 발표했고 심사 방식도 서류 확인에서 현장점검 방식으로 개편했다. 다만 인증 취소 관련 제도는 현재 없어 이를 보완하는 중이다.
Q) CJ ONE 통합회원 863만 개는 연계정보(CI) 보유 계정 1,904만 개와 어떻게 겹치나. 개발 프로젝트 361건 유출로 인한 금전적 손실 규모는 파악됐나.
A) 3,954만 계정을 활성화·비활성화, 가입방식(자체·CJ ONE·간편가입), CI 보유·미보유 등 3가지 방식으로 각각 구분해 분석했을 뿐, CJ ONE 계정만 따로 얼마나 유출됐는지는 조사하지 않았다. 이 부분은 개인정보보호위원회에서 추가로 규명될 사안이다. 개발 프로젝트 361건의 시장가치는 정부가 파악할 수 없고, 티빙에 문의해야 한다.
Q) 앞서 알려진 1,954만 명(티빙 자체 신고 수치)과 오늘 발표된 3,954만 개(중복 포함)는 어떤 관계인가. 과징금 규모는 언제 확정되나.
A) 1,954만 명은 티빙이 자체적으로 중복을 제거했다고 보고한 수치로, 아직 검증되지 않은 숫자다. 과징금은 개인정보보호법상 제도로 10월 1일 이후 시행되며, 개인정보보호위원회가 유출 규모를 구체적으로 산정한 뒤 부과 규모를 정하게 된다. 이번 발표에서 과기정통부가 부과하는 과징금은 없다.
Q) 정보보호 전담인력 4명은 외주인력을 제외한 수치인데, 왜 외주인력을 뺐나.
A) 외주인력은 업무 관여도가 명확하지 않은 경우가 많아 조사에서 제외했다. 티빙이 자체적으로 얼마나 전문 대응인력을 보유하고 있는지를 기준으로 산정한 수치다.
Q) KT 제휴 이용권 고객 등은 어디에 포함되나. 휴면·탈퇴 계정도 모두 유출된 게 맞나.
A) 활성화·비활성화·테스트 계정 모두 유출된 것이 맞다. KT 보상쿠폰 수령 가입자 중 정보 유출이 확인된 건 52만 7000건이며, 이는 앞서 발표한 다른 수치들에는 포함되지 않은 별도 집계다.
Q) SKT·쿠팡에 이어 티빙까지 사고가 반복되는데, 정부의 종합대책이 실제 효과를 내는 시점은 언제로 보나.
A) 앞으로 공격자는 AI 등을 활용해 더 강력해지고 빈번해질 것으로 예상돼, 정부 정책도 사고 예방보다 사고 발생 시 신속 대응으로 무게중심을 옮기고 있다. 1·2차 종합대책에 따른 제도들이 9월 11일(개인정보보호법), 10월 1일(정보통신망법)부터 시행되며, 기업 신고 전 정부의 선제적 조사 착수 근거, 이행강제금 신설, 과징금·과태료 대폭 인상, 정보보호 인력·예산 공시 확대 등이 순차 적용된다. 이런 대책들이 종합적으로 작동해야 조금씩 변화가 나타날 것이다.
