티빙 회원정보 유출 ‘중대한 사고’로 판단한 과기정통부 민관합동조사단 조사 착수
700만명 규모 ‘CI’ 탈취 정황... 통합 로그인 연동된 ‘CJ ONE’ 수평 이동 가능성

[보안뉴스 조재호 기자] 국내 대표 온라인 동영상 서비스(OTT) 티빙(TVING)에서 개인정보 유출 사고가 터지자 정부가 민관합동조사단을 꾸려 조사에 착수했다. 단순 식별정보를 넘어 700만명 이상으로 추산되는 가입자의 연계식별정보(CI) 유출 정황이 포착되면서 향후 심각한 악용 가능성과 함께 도의적 책임론이 불거지고 있다.



티빙은 지난 3일 공식 홈페이지를 통해 신원 미상의 해커가 개인정보가 저장된 메인 데이터베이스(DB)에 접속해 개인정보 파일을 외부로 전송했다고 밝혔다.

공지에 따르면, 유출된 항목은 △아이디(ID) △이름 △생년월일 △성별 △연계식별정보(CI) △중복가입확인정보(DI) △이메일 △비밀번호 등이다. 회사는 IP 접근을 차단하고 클라우드 통제 정책을 변경하는 등 진화에 나섰으나, 월간 활성 이용자(MAU) 700만명에 달하는 거대 플랫폼의 보안이 뚫렸다는 점에서 파장이 커지고 있다. 현재까지 사고로 인한 구체적인 유출 규모는 공개되지 않았다.

700만 이용자 DB 침해와 CI 유출 파장
티빙 측은 일부 정보가 암호화되어 악용될 확률이 낮다고 설명했으나, 보안업계의 시각은 달랐다. 지난해 유출된 계정의 정보를 무작위 대입하는 공격인 ‘크리덴셜 스터핑’(Credential Stuffing) 차단과 달리, 이번에는 시스템의 핵심인 데이터베이스(DB) 침해 사실을 공지했기 때문이다. 개별 사용자가 확인할 수 없는 고유 암호화 식별값인 CI·DI 유출은 웹 애플리케이션 인터페이스(API) 취약점을 공략당했거나, 내부 방어망이 완전히 장악당했을 가능성도 배제할 수 없다.

특히 주목할 부분은 CI 값이다. 이 값은 사용자가 본인인증을 진행할 때 생성되는 88바이트의 고유 식별 값이다. 모든 웹사이트와 금융사에서 한 사람당 단 하나의 값만 생성돼 사용자가 임의로 변경하거나 폐기할 수 없어 사실상 온라인상 주민등록번호의 역할을 한다.

한 보안 전문가는 “700만명에 가까운 인원의 DI뿐만 아니라 CI 값이 유출됐다는 점에서 향후 파장이 커질 것”이라며 “연계정보 저장 시 암호화 규정은 내년 5월부터 시행되지만, 악용 위험도가 높은 정보인 만큼 도의적인 책임에서 자유롭긴 힘들 것”이라고 지적했다.

OTT가 ‘CI’ 품은 이유? 과도한 보유와 분리 보관 실패
그렇다면 단순 OTT인 티빙이 이렇게 많은 식별정보를 보유하고 있을까? 이 배경에는 ‘씨제이원’(CJ ONE) 통합 멤버십 체계와 다수의 외부 제휴망에서 찾아볼 수 있다. 티빙은 KT의 영상 서비스 시즌(Seazn)을 합병하고, 네이버플러스 멤버십 등과 연동된 거대 네트워크를 구축했다. 이 과정에서 서로 다른 서비스에 흩어진 회원이 동일 인물임을 확인하기 위해 변하지 않는 고유값인 CI·DI를 필수 기준으로 활용한 것으로 보인다. 아울러 청소년 관람불가 콘텐츠 제공을 위한 성인인증과 유료 결제 도용 방지의 목적도 있었을 것으로 판단된다.

문제는 수집의 당위성이 아닌 보관의 안일함이다. 본인인증이나 계정 연동 시점의 검증용으로만 확인하고 즉시 폐기하거나, 접근이 통제된 별도의 망에 암호화해 격리 보관해야 할 민감 데이터가 DB 서버 침해로 유출된 지점은 비판을 피하기 어렵다. 필요에 따라 식별정보를 끌어모으기만 했을 뿐, 정작 이를 지킬 아키텍처나 데이터 생명주기 관리에 실패했다.

‘CJ ONE’ 운영사 ‘CJ올리브네트웍스’ 연동망 촉각... CI 유출로 연쇄 확산 가능성
티빙 측은 다른 서비스의 비밀번호 변경을 권장하며 ‘크리덴셜 스터핑’(Credential Stuffing) 등 무작위 대입 공격 이슈를 언급하고 있다. 그러나 ‘DB’가 뚫려 핵심 데이터가 유출된 상황에서 이와 같은 권고는 한계가 있다. 오히려 로그인 시스템 구조상 2차 피해 확산 가능성이 제기된다.

현재 티빙은 자체 ‘ID’ 외에도 개방형 인증(OAuth) 방식을 통한 타 포털 로그인은 물론, CJ 올리브네트웍스가 운영하는 ‘씨제이원’(CJ ONE) 기반의 오픈ID를 통해 그룹사 통합 로그인을 지원하고 있다. CJ ONE은 올리브영과 씨유(CU) 편의점, CJ대한통운 등 광범위한 제휴처에서 간편 결제와 포인트 제도를 운영 중인 그룹사 플랫폼으로 현재 가입자 수만 3100만명에 달한다.

티빙에서 탈취한 데이터를 악용했을 때, 통합 운영사인 CJ올리브네트워크가 관리하는 타 계열 서비스로 손쉽게 우회 접속하거나 권한을 훔치는, 이른바 ‘수평 이동’(Lateral Movement) 가능성을 배제하긴 어렵다.

최악의 시나리오 중 하나는 계정 강탈이다. 유출된 CI와 사용자 정보를 악용해 아이디나 비밀번호 찾기 등을 정상적인 방법으로 진행하거나, 회원정보 변경 프로세스의 허점을 파고들어 본인인증 과정을 우회하거나 변조할 가능성이 존재한다. 이 경우 계정 내 포인트를 탈취하거나 계정 자체를 빼앗길 가능성도 있다.

이에 대해 또 다른 보안 전문가는 “공지에서 ‘CI·DI’ 유출을 인정한 것은 그룹사 통합 로그인을 지원하는 핵심 인증 구조가 통째로 취약점에 노출됐다는 방증”이라며 “결제 수단과 개인 포인트가 묶인 ‘CJ ONE’ 시스템으로 피해가 전이될 경우 알려진 범위보다 훨씬 심각한 금전적 탈취 사고로 번질 수 있어, 티빙 단일 플랫폼을 넘어 이 부분에 대한 영향성 검토가 시급하다”고 말했다.

사태가 일파만파 확산하는 가운데 티빙 측은 “이번 보안 사고로 고객 여러분께 심려를 끼쳐드린 점 진심으로 사과드린다”며 “현재 사고 원인과 영향 범위를 면밀히 확인하는 동시에 고객 보호 조치를 최우선으로 시행하고 있으며 확인되는 사실은 투명하게 공개하겠다”고 밝혔다. 이어 “정부 및 관계 기관 조사에도 성실히 협조하며 재발 방지 대책 마련에 최선을 다하겠다”고 전했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>