티빙, 너무 크게 털렸다 … "최근 사례중 가장 심각"

[카이리무빙]

티빙도 개인정보 유출 사태가 일어났네요

저는 프로농구 보려고 가입했었고 프로야구 인터넷 중계는 티빙이 독점이라서 가입된 분들이 많을텐데

티빙도 그렇고 대기업들 회원 개인정보 관리가 개판이에요


https://www.ilovepc.co.kr/news/articleView.html?idxno=59644

티빙, 너무 크게 털렸다 … "최근 사례중 가장 심각" - 디지털포스트(PC사랑)

티빙(TVING)의 개인정보 유출 사태가 예상보다 훨씬 심각한 양상으로 전개되고 있다. 단순 회원정보 일부 노출을 넘어 공격자가 내부 시스템에 침투해 데이터베이스(DB)를 직접 조회·탈취한 정황까지 드러나면서 우려가 커지고 있다.

가장 충격적인 대목은 유출 규모다. 현재까지 알려진 유출 대상자는 약 1300만명 수준이다. 티빙의 월간활성이용자(MAU)가 500만명 안팎인 점을 감안하면 실제 서비스를 이용 중인 가입자뿐 아니라 과거 가입 후 이탈한 휴면 회원까지 사실상 전원에 가까운 정보가 유출됐을 가능성이 제기된다.

특히 보안전문가들이 주목하는 부분은 'CI(Connecting Information)' 유출 여부다. CI는 본인인증 과정에서 생성되는 고유 식별값으로 금융·통신·플랫폼 업계에서는 사실상 '디지털 주민등록번호'로 통한다. 이름과 전화번호 수준의 개인정보와는 차원이 다르다. 향후 다른 서비스와 결합될 경우 2차 피해로 이어질 수 있다.

사고 원인 역시 예사롭지 않다. 조사 과정에서 공격자가 아마존웹서비스(AWS) 액세스키를 활용해 시스템에 접근한 정황이 드러났다. 티빙 측은 과거 개발 과정에서 오픈소스 공유플랫폼인 깃허브(GitHub)에 하드코딩(코드 내에 직접 입력)된 키가 노출됐고 이후 삭제 조치했다고 해명한 것으로 전해진다.

그러나 보안업계에서는 단순 키 유출만으로 이 정도 규모의 사고를 설명하기 어렵다는 지적이다. 일반적으로 기업의 핵심 DB는 가상사설망(VPN)이나 별도 접근통제 체계를 통해 외부 접속을 차단한다. 때문에 단순 개발자 계정이 아닌 관리자 권한 또는 이에 준하는 접근권한이 공격자에게 넘어갔을 가능성을 배제하기 어렵다는 분석이다.

한 보안업계 관계자는 "단순 DB 덤프(통째로 내려받기) 유출이 아니라 공격자가 의도적으로 쿼리(데이터 요청 명령)를 수행해 정보를 추출한 정황이 확인된다면 최근 국내에서 발생한 보안사고 중 가장 심각한 축에 속할 수 있다"고 지적했다.

파장은 정치권으로도 번질 조짐이다.

참여연대는 22대 국회 하반기 우선 입법과제로 집단소송법 처리를 요구하고 나섰다. 개인정보 유출 피해 입증 책임이 사실상 이용자에게 전가되는 현재 구조로는 기업 책임을 묻기 어렵다는 이유에서다. 집단소송제는 이재명 대통령의 공약이기도 하며 법무부가 선정한 '10대 민생·안전 법안' 가운데 첫 번째 과제로도 꼽힌다. 이번 사건이 집단소송제 도입 논의의 기폭제가 될 가능성이 커보인다.

실제 국내에서는 개인정보 유출 때마다 기업들이 사과문과 일부 보상안을 내놓는 수준에서 마무리되는 경우가 많았다. 하지만 이번에는 상황이 다르다. 유출 규모와 정보 민감도, 침해 방식 모두 기존 사례를 뛰어넘을 가능성이 있기 때문이다.

[the rod-no.1]

국민 정보를 우습게 아는 풍토부터 고쳐야죠 과태료 1조 정도 물려야죠 통신사들도 망했어야 되는데 진짜

[겐트위한]

왠지 거기 소행 같은데

[스테레오]

아직도 더 털릴 정보가 남아있었던가?

[만성피로]

그러네..요즘 모르는 전화번호로 전화가 자주 와요. 영업전화도 많아서 내가 동의를 너무 많이 했나? 싶기도 하고, 기억에 전혀 쓰지 않는곳에서 연락이 오면 내 전화번호 어떻게 알았냐고 하니 제대로 답을 못하더라구요.

[Michael-Jordan]

과연 쿠팡급 과징금을 때릴 것인지