보안 예산은 늘었는데 로그인 화면은 그대로예요

쿠팡 이후 아홉 달, 목록은 계속 길어지고 있어요

지난 9월 3일 과학기술정보통신부 민관합동조사단이 티빙 침해사고 조사 결과를 발표했어요. 이용자 계정 약 3,954만 개와 소스코드가 포함된 기술자산 361건이 빠져나갔어요. 하루 뒤인 9월 4일에는 미용의료 플랫폼 강남언니에서 상담내역 조회 API에 비정상 접근이 들어와 22만 명의 정보가 나갔고요. 8월에는 정상어학원에서 26만 건, 성인교육 플랫폼 데이원컴퍼니에서도 유출 통지가 나갔어요.

쿠팡 유출이 알려진 게 작년 11월 말이에요. 그 뒤로 아홉 달 넘게 목록이 줄지 않고 있어요. 한국인터넷진흥원(KISA)에 접수된 올해 상반기 침해사고는 1,236건으로 작년 같은 기간보다 19.5% 늘었어요. 랜섬웨어 감염 신고는 76.8%, 분산서비스거부 공격은 56.7% 증가했고요.

그런데 이 기간에 기업들이 보안에 돈을 안 쓴 게 아니에요. KISA 정보보호 공시를 보면 쿠팡은 2025년에 정보보호로 1,349억 원을 썼어요. 전년보다 51.6% 늘린 금액이고, 국내 2위예요. 삼성전자(4,121억 원) 다음이에요. 그리고 지난 9월 11일부터는 개정 개인정보 보호법이 시행돼서, 대규모 유출을 낸 기업에 전체 매출액의 최대 10%까지 과징금을 매길 수 있게 됐어요.

돈도 늘었고 법도 세졌는데 목록은 안 줄어요. 이 글은 그 사이에 빠진 게 뭔지를 봐요. 답은 기술이 없어서가 아니에요. 계정을 지키는 수단은 이미 오래전에 나와 있고, 지금은 네이버와 카카오도 지원해요. 그걸 켜지 않기로 하는 결정이 매일 어딘가의 회의에서 내려지고 있을 뿐이에요.

---

티빙은 암호화키까지 같이 나갔어요

티빙 사고의 시작은 5월 30일 오후 6시 1분이에요. DB 서버 CPU 사용률이 100%까지 치솟는 이상 징후를 보고 침해를 인지했어요. 다음 날 유출을 확인하고 6월 1일에 신고했고, 이용자 공지는 6월 3일에 나갔어요.

조사 결과에서 눈여겨볼 대목은 규모가 아니라 암호화 상태예요. 비밀번호는 일방향 암호화라 복호화가 안 되는 상태였어요. 그런데 휴대전화번호와 이메일 주소는 암호화된 데이터와 그걸 푸는 암호화키가 함께 빠져나갔어요. 조사단은 이를 사실상 평문 유출과 같은 수준으로 판단했어요. 금고를 통째로 들고 가면서 열쇠도 같이 가져간 셈이에요. 유출 항목은 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI)¹를 포함해 20개 항목 70종이에요.

숫자를 읽을 때 한 가지 구분이 필요해요. 3,954만은 계정 수고, 사람 수는 아니에요. KBS 보도가 전한 유출 규모는 1,900만 명이에요. 한 사람이 여러 계정을 만들었거나 중복 집계된 경우가 걸러진 숫자로 보여요. 항목별 정확한 규모는 개인정보보호위원회가 따로 확정할 예정이에요.

티빙이 6월 10일부터 7월 2일까지 한 조치가 이 사고의 성격을 잘 보여줘요. CJ ONE 아이디로 가입한 회원의 계정을 전면 잠그고 강제 로그아웃시켰어요. 티빙에서 새어 나간 아이디와 비밀번호 조합으로 CJ의 다른 서비스에 로그인이 시도될 걸 막으려는 조치였어요. 이걸 크리덴셜 스터핑²이라고 불러요.