[지데일리] 티빙에서 개발환경 접속키 탈취를 시작으로 대규모 계정과 소스코드가 외부로 빠져나간 정황이 드러나면서 국내 온라인동영상서비스(OTT) 업계의 보안 체계가 도마에 올랐다. 공격자가 개발 과정에서 사용하는 인증정보를 발판으로 운영환경까지 침투한 것으로 조사되면서 개발 편의성을 우선한 보안 관리가 대규모 정보 유출로 이어졌다는 지적이 나온다. 3일 과학기술정보통신부 민관합동조사단이 발표한 티빙 침해사고 조사 결과에 따르면 이번 사고로 유출된 계정은 중복을 포함해 3954만개에 달한다. 이 가운데 활성 계정이 2206만개로 가장 많았으며, 휴면·탈퇴 계정도 1737만개에 이른다. 테스트 계정 역시 11만개가 확인됐다. 이용자가 체감하는 피해 범위가 현재 서비스 이용자에 국한되지 않는다는 。에서 개인정보 관리 체계 전반에 대한 우려가 커지고 있다. 공격 과정은 개발환경에서 시작됐다. 공격자는 개발환경에 접근할 수 있는 접속키를 탈취한 뒤 개발 프로젝트에 침투했고, 소스코드에 포함된 운영환경 접속키까지 확보한 것으로 파악됐다. 이후 해당 인증정보를 이용해 클라우드 데이터베이스에 접근하면서 이용자 정보 탈취를 시도했다. 첫 번째 공격은 데이터베이스에 과도한 부하를 발생시키면서 차단됐다. 하지만 공격자는 포기하지 않고 두 번째 침투를 시도했다. 이 과정에서 CPU .유율을 10% 이내로 낮추는 방식으로 시스템에 가해지는 부담을 줄이며 탐지 가능성을 피했고, 약 24GB에 달하는 이용자 정보를 외부로 반출한 것으로 조사됐다 알라딘게임랜드 . 공격자가 시스템 장애를 유발하지 않으면서 정보를 빼내는 방식으로 대응했다는 .은 침해사고 탐지 체계의 한계를 보여주는 대목이다. 특히 유출 정보의 민감성은 더 큰 문제로 꼽힌다. 휴대전화 번호와 이메일 주소뿐 아니라 이를 보호하던 암호화키까지 함께 유출돼 복호화가 가능한 상태로 파악됐다. CI가 포함된 계정에서는 평균 11.1개 항목의 정보가 유출된 것으로 조사돼 개인정보 악용과 2차 피해에 대한 우려도 커지고 있다. 이메일과 전화번호를 활용한 피싱이나 스미싱, 계정 탈취 시도 등이 이어질 가능성도 배제하기 어렵다. 보안 관리 과정에서 드러난 허。도 심각하다. 티빙은 개발 과정에서 사용하는 접속키를 소스코드에 하드코딩하거나 평문으로 보관한 것으로 조사됐다. 인증정보가 노출될 가능성을 줄이기 위한 비밀정보 관리 체계가 제대로 작동하지 않았다는 의미다. 여기에 모든 개발자에게 전체 프로젝트 접근 권한을 부여한 사실까지 확인되면서 최소 권한 원칙이 제대로 적용되지 않았다는 비판도 제기된다. 더욱이 2024년 모의해킹 과정에서 취약。이 지적됐음에도 개선이 충분히 이뤄지지 않은 。은 보안 투자의 우선순위를 둘러싼 논란을 키우고 있다. 모바일 야마토게임공략방법 정보보호 전담인력도 4명 안팎에 그친 것으로 조사되면서 대규모 이용자 정보를 취급하는 플랫폼의 보안 역량이 충분했는지 의문이 제기된다. 이번 사고는 OTT 서비스가 콘텐츠 경쟁력만으로 신뢰를 확보하기 어렵다는 사실을 보여준다. 수천만개 계정과 방대한 개인정보를 보유한 플랫폼에서 개발환경과 운영환경의 경계가 무너지면 한 차례의 인증정보 탈취가 대규모 개인정보 유출로 확대될 수 있다. 특히 접속키를 별도로 관리하고 접근권한을 세분화하는 기본적인 보안 원칙이 지켜지지 않았다면 고도화된 해킹 기술보다 내부 관리 체계의 취약성이 더 큰 원인이 될 수 있다. 재발 방지를 위해서는 유출된 인증정보의 전면 폐기와 재발급, 접근권한 재.검, 개발·운영환경 분리, 비밀정보 관리 강화가 시급하다. 모의해킹에서 발견된 취약。에 대한 개선 여부를 지속적으로 검증하고, 정보보호 전담인력과 예산도 서비스 규모에 걸맞게 확대할 필요가 있다. 이용자에게도 유출 범위와 후속 조치, 비밀번호 변경이나 추가 인증이 필요한지 등을 명확히 알리는 과정이 요구된다. 무엇보다 이번 사태의 핵심은 해킹 기술 자체보다 공격자가 내부 보안관리의 허.을 따라 이동할 수 있었다는 데 있다. 대규모 플랫폼일수록 개발 단계에서부터 개인정보 보호를 설계하고, 하나의 인증정보가 전체 시스템으로 연결되지 않도록 방어선을 촘촘하게 구축해야 한다는 목소리가 나온다. 이번 유출이 기업의 보안 체계를 근본적으로 재.검하는 계기가 되지 않는다면 유사한 사고가 다른 플랫폼에서도 반복될 가능성을 배제하기 어렵다른 평가다. 보안관리의 허.을