티빙(TVING) 침해사고 조사결과 발표

▷ (조사 범위) 침해사고 원인·피해 파악을 위해 △키 탈취경위, △공격자 침투경로, △피해규모 및 영향도 분석 △전사 차원의 정보보호 관리체계 점검 ▷ (피해 규모) -(기술자산) 소스코드가 포함된 티빙 개발 프로젝트 361건 유출 -(이용자 정보) ① 로그인이 가능한 활성화 계정 2,206만 개, 비활성화 계정(휴면·탈퇴) 1,737만 개, 테스트 계정 11만 개 등 3,954만 개 계정 (연계정보(CI) 중복 등 다수 중복 계정 포함, 최대 13개 계정 보유 사례 확인)  자체가입(726만), CJ ONE 통합회원(863만), SNS간편가입(2,247만) 등 다양한 경로로 가입 가능② 계정 특성에 따른 유출 정보* 차이 존재 * 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종) 유출 (비밀번호 및 환불 계좌번호 암호화)  CI 보유계정(1,904만) 평균 11개 항목, CI 미보유계정(2,040만) 평균 5개 항목 ※ 개인정보 세부 유출규모는 개인정보보호위원회에서 확정 예정 ▷ (사고 원인 및 문제점) 공격자는 개발자가 보유하고 있는 ‘접속키’를 탈취하여, 티빙 내부 시스템 침투 및 정보유출 -키 관리체계 미비로 인해, 공격에 악용될 수 있는 단초 제공 -비정상 행위에 대한 모니터링 체계가 부재하여, 공격자의 공격 행위를 사전에 탐지·대응하지 못함 -△개발인력 대비 적은 정보보호 담당인력(4명 내외), △로그 관리 미흡, △’24년 모의해킹 취약점 미조치 등 전사 차원의 정보보호 관리체계 미흡 ▷ (재발방지 대책) 키 이력·접근권한 등을 관리하기 위한 체계 구축, 비정상 행위 탐지 및 모니터링 체계 강화, 충분한 정보보호 인력·예산 확보, 로그 저장관리 정책 수립 및 취약점 조치 강화 등▷ (조치 사항) 침해사고 인지시점(‘26.5.31 10:10)으로부터 24시간이 지난 이후 신고(‘26.6.1 15:08) ➪ 정보통신망법 상 신고 지연에 따른 과태료 처분 ▷기존에 발표된 기업의 책임성 및 정보보호 역량 강화를 위한 정보보호 종합대책을 차질없이 이행해 나갈 계획 -국민 밀접 분야 대상 보안점검, ISMS·ISMS-P 인증제도 개선, 보안 취약점 신고·조치·공개제도 시범사업(CVD/VDP 제도) 등 후속조치 추진 -중대·반복 위반에 대한 제재 강화, 정보보호 투자 확대, 정부의 선제적 사고조사 및 이행강제금 등 개인정보보호법(9.11), 정보통신망법(10.1) 개정 법안의 차질없는 시행과 현장 이행상황을 지속 점검 계획