과기정통부가 티빙 침해사고로 총 3954만개 계정 정보가 유출됐다고 발표했다. /티빙

[더팩트｜우지수 기자] 과학기술정보통신부는 온라인동영상서비스(OTT) 티빙(TVING) 침해사고로 총 3954만개 계정 정보가 유출된 것으로 확인했다고 3일 밝혔다.

이날 과기정통부는 민관합동조사단 조사 결과를 공개했다. 유출 계정은 로그인이 가능한 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개다.

계정 수가 피해자 수와 일치하지는 않는다. 티빙은 한 사람이 여러 프로필이나 소셜 연동 계정을 만들 수 있어 중복 계정이 대거 포함됐다. 조사단은 한 이용자가 계정 13개를 보유한 사례도 확인했다.

실제 인원에 가까운 수치는 본인인증을 거친 계정에서 나온다. 연계정보(CI)가 부여된 계정은 1904만개로, 중복을 제거한 고유 이용자는 1324만명으로 집계됐다. CI는 주민등록번호를 대신해 개인을 식별하는 값으로, 티빙 유료결제나 성인인증을 위한 본인인증 과정에서 만들어졌다.

유출 정보는 20개 항목 70종이다. △아이디 △성명 △휴대전화번호 △이메일주소 △생년월일 △성별 △CI △중복가입확인정보(DI) △결제이력 등이 포함됐다.

암호화 여부에 따라 위험도는 갈렸다. 비밀번호는 일방향 암호화가 적용돼 원문이 그대로 드러나지는 않았고 환불 계좌번호도 암호화 상태를 유지했다. 반면 휴대전화번호와 이메일주소는 일부 암호화됐으나 암호화키가 함께 유출돼 복호화가 가능한 것으로 조사됐다.

계정 성격에 따라 유출 규모도 달랐다. CI를 보유한 1904만개 계정은 평균 11.1개 항목, 17.6종의 정보가 빠져나갔다. CI가 없는 계정 2040만개는 평균 4.6개 항목, 5.9종에 그쳤다. 본인인증 절차를 거치지 않아 성명이나 휴대전화번호, 이메일주소가 누락됐거나 유효하지 않은 값이 다수 포함됐기 때문이다.

조사단은 스미싱·보이스피싱 같은 2차 피해와 다크웹 불법거래에 유출 정보가 쓰일 수 있다고 봤다. 티빙은 6월3일부터 피해자 전용 상담 창구를 열어 운영 중이다. 정부는 다크웹과 사회관계망서비스(SNS), 해킹포럼을 실시간으로 들여다보고 있다. 아직 이용자 피해 신고나 불법 유통 정황은 나오지 않았다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 추가 분석을 거쳐 확정할 예정이다.

index@tf.co.kr