'개발자 키' 하나로 운영망까지 뚫렸다…티빙 해킹사고 전말(종합)

민관합동조사단 침투 경로 발표… 개발자 접속키 탈취로 시작된 5단계 침해

소스코드에 운영환경 접속키 43개 노출…2개 실제 공격에 악용

DB 접속정보도 평문 저장…1차 차단 뒤 별도 가상서버 만들어 24GB 유출

[서울=뉴시스]심지혜 기자 = 대규모 회원 계정 유출을 부른 온라인동영상서비스(OTT) 티빙의 침해 사고는 개발자의 접속키 탈취로 시작돼 내부 소스코드에 암호화도 없이 방치된 운영서버 키와 데이터베이스(DB) 접속 비밀번호를 타고 들어가면서 이뤄진 것으로 조사됐다.

과학기술정보통신부는 티빙 침해사고에 대한 민관합동조사단 조사 결과, 해커가 개발자 접속키를 악용해 개발환경부터 운영환경, 핵심 DB까지 순차적으로 뚫고 들어간 5단계 침투 경로를 최종 확인했다고 3일 밝혔다. 조사단에 따르면 해커는 ▲개발환경 침투 ▲운영환경 접속키 탈취 ▲운영환경 침투 ▲1차 유출 시도 및 차단 ▲2차 우회 유출 등 5단계를 거쳐 24GB 규모의 이용자 정보를 탈취했다

개발자 접속키로 개발환경 침투…DB 비밀번호까지 '평문 방치'

공격은 지난 5월 29일 오후 2시 42분 시작됐다. 해커는 사전에 탈취한 개발자 접속키를 이용해 티빙 개발환경에 무단 접속한 뒤 361개에 달하는 전체 개발 프로젝트 소스코드를 통째로 유출했다.

조사단은 해당 개발자의 노트북 8대와 PC 1대를 포렌식 분석했으나 최초 키 탈취 경로는 특정하지 못했다. 다만 로그 보관 기간 한계와 접속키 관리 체계 부실 등 정보보호 관리체계상 문제점을 확인했다.


해커는 유출한 개발 프로젝트에 들어 있던 운영환경 접속키를 이용해 실제 서비스가 운영되는 환경으로 공격 범위를 넓혔다.

조사단에 따르면 당시 개발 프로젝트 361건에는 운영환경 접속키 43개가 포함돼 있었다. 이 가운데 41개는 소스코드 안에 직접 입력돼 있었고 3개는 프로그램 설정값에 암호화되지 않은 평문으로 저장돼 있었다. 1개는 중복됐다.

해커는 이 가운데 2개의 접속키를 실제 공격에 사용했다.

접속키로 운영환경에 들어간 해커는 관리자 권한 보유 여부 등 키 권한 및 정보유출에 활용할 수 있는 내부 시스템을 탐색했다.

탐색 과정에서 이용자 정보가 저장된 DB의 접속 아이디와 비밀번호가 암호화되지 않은 평문으로 저장돼 있는 것도 확인했다. 해커는 이를 탈취해 이용자 정보 조회와 유출에 이용했다.

1차 차단되자 '가상서버 우회' 재침투…가상서버 통해 24GB 반출

해커의 공격 수법은 집요했다. 5월30일 오전 9시22분, 해커는 확보한 DB 접속 계정으로 클라우드에 악성 스크립트를 심고 첫 번째 정보 유출을 시도했다. 그러나 과도한 쿼리 요청으로 DB 서버의 CPU 이용률이 100%까지 치솟자 이상징후 알림이 울렸고 티빙 보안팀에 의해 작업이 강제 차단됐다.

해커는 다음 날 다시 공격에 나섰다. 이번에는 가상서버 생성권한이 있는 운영환경 접속키를 이용해 내부에 가상서버를 생성한 뒤 이를 정보유출 통로로 활용했다. DB에 있던 이용자 정보를 가상서버에 일괄 저장한 뒤 외부 서버로 빼냈다. 유출 규모는 24GB다. 이후에는 공격에 사용한 가상서버를 삭제하는 치밀함도 보였다.

특히 2차 공격에서는 보안 관제망의 과부하 알림을 피하기 위해 데이터 추출 속도를 조절하며 CPU 점유율을 10% 이내로 철저히 억제했다. 이 때문에 티빙 내부 시스템은 대규모 데이터가 외부로 빠져나가는 동안 어떠한 이상징후도 감지하지 못했다.


◎공감언론 뉴시스 [email protected]