최근 티빙에서 발생한 3,954만 건의 대규모 계정 정보 유출 사고는 단순한 해킹 공격을 넘어 기업의 근본적인 정보보호 시스템 부재를 드러냈습니다. 이번 사태는 알려지지 않은 고난도 취약점이 뚫린 것이 아니라, 기업이 기본적으로 갖춰야 할 접속키 관리 등 여러 정보보호 체계가 동시에 작동하지 않아 발생한 것으로 파악됩니다.
공격자는 지난 5월 29일부터 31일 사이 티빙 개발자가 보유하고 있던 '개발환경 접속키'를 먼저 탈취하여 개발 환경에 무단으로 접속했습니다. 더 큰 문제는 유출된 소스코드 내부에 실제 서비스 운영 환경으로 접근할 수 있는 접속키들이 포함되어 있었다는 점입니다. 조사 결과, 총 43개의 운영 환경 접속키가 소스코드에 그대로 존재했으며, 공격자는 이 중 2개를 이용해 아마존웹서비스(AWS) 기반의 운영 환경으로 침투했습니다. 접속키는 별도의 안전한 저장소에서 관리되지 않았고, 일부는 소스코드에 직접 입력하는 '하드코딩' 방식으로 저장되거나 사내 메신저를 통해 공유되는 등 보안 수칙이 지켜지지 않았습니다.
이번 사고는 단순히 보안 인력 증원이나 투자 확대만으로 해결될 문제가 아님을 시사합니다. 전문가들은 AWS와 같은 클라우드 환경에서는 액세스 키(Access Key) 대신 다른 연동 방식을 권장하고 있음에도 불구하고, 이를 하드코딩한 것은 개발 단계에서의 심각한 문제라고 지적합니다. 이는 보안 기술의 부재보다는 개발 및 운영 과정에서의 내부 통제와 보안 인식 부족이 더 큰 원인임을 보여줍니다. 기업들은 보안 투자와 함께 개발 문화 및 내부 프로세스 전반에 걸친 보안 강화 노력을 기울여야 할 것입니다.