2026.10.15 목요일
검색
'키로' 검색결과
기간검색
-
~
검색영역
검색어
-
티빙, 접속키 하나로 개발망·운영망 연쇄 침투…3954만 계정 유출 [경제일보] 온라인동영상서비스(OTT) 티빙에서 중복을 포함한 이용자 계정 3954만개와 소스코드 등 개발 프로젝트 361건이 유출됐다. 접속키를 소스코드에 그대로 넣어두고 개발자에게 과도한 접근 권한을 부여한 보안 관리 부실이 피해를 키운 것으로 조사됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 등으로 구성된 민관합동조사단은 3일 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사단은 개발자 단말기 9대와 보안장비, 데이터베이스(DB), 시스템 로그를 분석해 공격 경로와 피해 규모를 확인했다. ◆ 활성·휴면·탈퇴 계정까지 유출…피해자 수는 미확정 조사단이 확인한 유출 계정은 3954만697개다. 로그인 가능한 계정 2206만3021개뿐 아니라 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개까지 포함됐다. 티빙 시스템에 남아 있던 계정이 사실상 모두 유출된 것이다. 실제 피해자는 계정 수보다 적을 것으로 보인다. 한 사람이 여러 경로로 가입한 경우가 많았고, 최대 13개 계정을 가진 이용자도 확인됐다. 연계정보(CI)가 있는 1904만개 계정의 중복을 확인한 결과 약 580만개가 동일인 계정이었다. 이를 제외하면 CI로 구분되는 이용자는 약 1324만명이다. 문제는 CI가 없는 나머지 2040만개 계정이다. 이들 계정은 동일인 여부를 가려내기 어려워 현재로서는 전체 피해자 수를 확정할 수 없다. 휴면·탈퇴 회원 정보를 계속 보유한 것이 적절했는지를 포함해 정확한 피해 규모는 개인정보보호위원회가 추가 조사할 예정이다. 가입 경로별로는 네이버·카카오·애플 등 SNS 간편가입 계정이 2247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체 가입은 726만개였다. 임정규 과기정통부 정보보호네트워크정책관은 SNS 간편가입과 관련해 외부 SNS 계정까지 해킹된 것은 아니라고 설명했다. 간편가입 과정에서 티빙에 전달된 정보와 티빙이 별도로 수집한 휴대전화 번호, CI, 생년월일 등이 유출됐다는 것이다. 유출 정보는 아이디와 성명, 생년월일, 휴대전화 번호, 이메일 주소, CI 등 20개 항목·세부 유형 약 70종이다. CI 보유 계정에서는 평균 11.1개 항목, CI가 없는 계정에서는 평균 4.6개 항목이 유출됐다. 비밀번호는 일방향 암호화돼 복호화가 불가능한 상태였다. 반면 휴대전화 번호와 이메일 주소는 암호화키까지 함께 빠져나가 복호화할 수 있는 것으로 확인됐다. 조사단은 이를 사실상 평문으로 유출된 것과 같은 수준으로 판단했다. ◆ 개발키 탈취한 공격자, 운영 접속키 43개까지 확보 공격자는 5월 29일부터 31일 사이 티빙 개발자의 개발환경 접속키를 이용해 내부 시스템에 침투했다. 이 키로 전체 개발 프로젝트에 접근해 추천·검색 알고리즘과 이용자 관리·인증, 결제, 유료서비스 운영체계 등이 포함된 프로젝트 361건, 30.35GB를 빼냈다. 개발 소스코드 안에는 운영환경 접속키 43개가 숨김 처리 없이 입력돼 있었다. 이른바 ‘하드코딩’ 방식이다. 프로그램 설정값과 DB 아이디·비밀번호도 별도 암호화 없이 저장돼 공격자는 개발환경에서 운영환경까지 접근 범위를 넓힐 수 있었다. 공격자는 5월 30일 DB에 공격 도구를 삽입해 1차 유출을 시도했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 사용률이 100%까지 치솟자 티빙이 해당 작업을 차단했다. 박용규 KISA 디지털위협대응본부장은 “1차 시도 때 발생한 것은 보안 알람이라기보다 시스템 이상 알람이었다”며 “티빙이 원인을 조사하는 사이 2차 시도가 발생했다”고 설명했다. 공격자는 다음 날 별도 운영환경 접속키로 가상서버를 만들었다. CPU 사용률을 10% 이하로 유지해 과부하 경보를 피하면서 이용자 정보 24GB를 저장한 뒤 외부 서버로 전송했다. 이후 흔적을 줄이기 위해 가상서버를 삭제했다. 조사단은 개발환경 침투 이후의 이동 경로는 복원했지만 최초 개발자 접속키가 어떻게 탈취됐는지는 확인하지 못했다. 임 정책관은 “개발자 단말기 포렌식과 여러 공격 시나리오를 분석했지만 최초 탈취 경로를 확인하는 것은 불가능했다”며 “공격자와 최초 침투 경로는 경찰 수사를 통해 밝혀질 것으로 기대한다”고 말했다. ◆ 2년 전 접속키 노출 경고받고도 개선 안 해 티빙은 2024년 모의해킹에서 접속키 노출 취약점을 지적받았지만 개선하지 않았다. 접속키를 평문으로 저장하거나 사내 메신저로 공유했고, 키 발급·변경·폐기 절차도 제대로 마련하지 않은 것으로 나타났다. 개발자별 업무 범위를 구분하지 않고 모든 개발자에게 전체 프로젝트 접근 권한을 준 점도 피해를 키웠다. 업무에 필요한 만큼만 권한을 부여하는 ‘최소권한 원칙’이 적용되지 않아 접속키 하나가 전체 개발 프로젝트 유출로 이어졌다. 접근제어와 관제에도 허점이 있었다. 인가된 인터넷주소(IP)만 접속하도록 제한하거나 다중인증(MFA)을 적용하는 통제가 미흡했다. 티빙은 CPU 부하 등 시스템 상태를 주로 감시했지만 대량 정보 조회와 비정상적인 데이터 이동을 실시간으로 탐지·차단할 체계는 갖추지 못했다. 시스템 로그도 선별적으로 저장했다. 새로 도입한 가상사설망(VPN) 장비에는 기존 로그 관리정책을 적용하지 않아 접속기록이 약 6일치만 남아 있었다. 업무용 PC의 백신 설치 여부와 최신 버전 관리 등 정기적인 보안점검도 미흡했던 것으로 조사됐다. 전체 임직원 265명 가운데 개발자는 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다. 조사단은 이 인력으로 상시 보안관제와 취약점 점검, 이상행위 탐지를 수행하는 데 한계가 있었을 것으로 판단했다. ◆ CISO 보고까지 14시간…법정 신고기한도 넘겨 초동 대응도 늦었다. 5월 30일 오후 DB 서버 과부하가 발생한 뒤 정보보호 최고책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸렸다. 정보보안팀에 사고가 전달된 시점은 5월 31일 오전 10시 10분이었지만 KISA 신고는 6월 1일 오후 3시 8분에 이뤄졌다. 침해사고 인지 후 24시간 이내 신고하도록 한 정보통신망법을 위반한 것이다. 개인정보 유출 신고는 별도 절차로 진행됐다. 개인정보위는 티빙이 6월 2일 개인정보 유출 정황을 인지하고 3일 오전 2시께 신고했다고 밝혔다. 개인정보위는 안전조치와 정보 보유·파기, 이용자 통지 의무 위반 여부를 조사하고 있다. 과기정통부는 신고 지연에 대해 3000만원 이하의 과태료를 부과할 예정이다. 티빙에는 접속키 관리체계 개편과 접근권한 축소, 이상행위 탐지 강화, 보안인력·예산 확충, 로그 보관정책 개선을 요구했다. 티빙은 9월 중 재발방지 이행계획을 제출해야 한다. 정부는 2027년 1월 이행 여부를 점검하고 보완이 필요한 경우 시정조치를 명령할 방침이다. ◆ “추가 공격·다크웹 유통 아직 없어”…후속 점검 필요 소스코드 유출에 따른 위험은 남아 있다. 공격자가 인증과 결제 구조, 외부 응용프로그램 인터페이스(API), 내부 업무 로직을 분석해 새로운 취약점을 찾을 수 있기 때문이다. 접속키 폐기·재발급에 그치지 않고 유출된 코드의 취약점 점검과 주요 인증체계 교체까지 필요하다는 지적이 나온다. 임 정책관은 “소스코드 유출에 따른 취약점을 악용한 추가 공격 정황은 현재까지 확인되지 않았다”며 “이용자 피해 사례와 다크웹을 통한 불법거래·유통 정황도 탐지되지 않았다”고 밝혔다. 티빙은 홈페이지를 통해 개인정보 유출 내역 조회 페이지를 열고 사과했다. 티빙은 “회원에게 심려를 끼쳐드린 점을 깊이 사과드린다”며 이용자가 유출 여부와 항목을 개별적으로 확인할 수 있도록 했다. 한편 이용자는 티빙과 동일한 비밀번호를 다른 서비스에서도 사용했다면 함께 변경하는 것이 안전하다. 티빙이나 CJ ONE을 사칭해 본인확인·환불·보상을 내세우는 문자와 이메일의 링크도 주의할 필요가 있다. 정부 브리핑 시점까지 구체적인 피해구제와 보상 방안은 공개되지 않았다. 정확한 피해자 수와 탈퇴 회원 정보의 보유 근거, 유출된 소스코드의 교체 범위도 추가 확인이 필요한 사안으로 남았다.2026-09-03 16:42:22
-
"AI가 개발하고 사람이 검증한다"…AWS, AI 주도 개발 방법론 공개 [경제일보] "AI를 도입한 개발 조직의 94%가 기대했던 성과를 내지 못하고 있다" 생성형 인공지능(AI)이 소프트웨어 개발 생산성을 끌어올릴 것이라는 기대와 달리 실제 서비스 출시까지 이어지는 사례는 많지 않다는 분석이 나온다. AI가 코드 작성 속도는 높였지만 보안과 검증, 운영 등 개발 전 과정까지 해결하지는 못하고 있기 때문이다. 아마존웹서비스(AWS)는 AI 코딩을 넘어 AI가 개발 전 과정에 참여하고 사람이 이를 검증하는 'AI 주도 개발(AI-DLC)'이 새로운 개발 방식이 될 것이라고 강조했다. 16일 AWS는 서울 강남구 AWS 코리아 사옥에서 'AI-DLC & Kiro 기자간담회 및 핸즈온 세션'을 열고 AI 기반 개발 방법론인 'AI-DLC(AI-Driven Development Life Cycle)'와 스펙 기반 개발 도구 '키로(Kiro)'를 소개했다. 이날 발표를 맡은 박혜영 AWS 코리아 수석 솔루션즈 아키텍트(SA)는 "AI는 기존의 소프트웨어 개발 역량을 강화하고 있으나 모두에게 균등하게 효과가 있진 않다"며 "강한 기술을 가진 조직이 더 앞서가고 있고 나머지는 제자리에 오히려 머물고 있다"고 말했다. AWS가 제시한 서클CI의 '2026 소프트웨어 딜리버리 보고서'에 따르면 AI를 도입한 개발 조직의 94%는 기대했던 성과를 내지 못하고 있는 것으로 나타났다. 기능을 개발하는 속도는 85% 빨라졌지만 실제 프로덕션 환경에 배포되는 속도는 26% 개선에 그쳤다. 박 SA는 "AI 코딩으로 피처를 개발하는 것은 무려 85%나 빨라졌지만 서비스까지 올리는 것은 어렵다"며 "만드는 건 빨라졌지만 고치는 건 더 오래 걸린다"고 설명했다. 이어 "이것이 지금 AI 코딩의 현실"이라고 강조했다. AI 코딩 도구 사용자들의 가장 큰 불만 사항 역시 '거의 맞지만 완벽하지 않은 코드'였다. 개발자 1만6000명을 대상으로 진행된 설문조사에서는 응답자의 45%가 이를 가장 큰 불만 사항으로 꼽았으며, 상당수는 AI가 작성한 코드를 수정하는 데 더 많은 시간을 쓰고 있다고 답했다. AWS는 해당 한계의 원인으로 AI가 소프트웨어 개발의 일부만 담당하고 있다는 점을 지목했다. 실제 코딩은 전체 개발 과정의 일부에 불과하며 설계와 테스트, 검증, 운영 등 나머지 과정 역시 중요하다는 설명이다. 박 SA는 "우리가 흔히 보는 AI 코딩은 개발의 일부일 뿐"이라며 "실제 이게 프로덕션 레벨로 나가기 위해서는 설계도 해야 되고 테스트도 해야 되고 검증도 해야 되고 소통도 해야 된다"고 말했다. 이어 "나머지 80%는 AI가 제공을 하고 있지 않기 때문에 이 80%를 건드려야 전체적인 생산성이 올라간다"며 "그것이 오늘 말씀드릴 AI-DLC가 하는 역할"이라고 설명했다. AWS는 현재 AI 개발 방식이 크게 사람이 직접 개발하고 AI가 일부를 보조하는 방식, AI에게 개발을 맡기는 이른바 '바이브 코딩', AI가 실행하고 사람이 검증하는 방식으로 나뉜다고 설명했다. AWS는 이 가운데 세 번째 방식인 AI-DLC를 새로운 개발 방법론으로 제시했다. AI-DLC는 프로젝트 '정의'와 '구축', '운영' 등 3단계로 구성되며 요구사항 정의부터 실제 코드 작성, 운영과 배포까지 AI가 작업을 수행하고 사람이 이를 검증하는 구조다. AI-DLC의 특징은 하나의 AI가 모든 작업을 수행하는 것이 아니라 총 11개의 전문 AI 에이전트가 역할을 나눠 협업한다는 점이다. 설계 단계에서는 설계 전문 AI가, 구축 단계에서는 개발 전문 AI가 각각 역할을 수행한다. 또한 요구사항 정의서와 사용자 스토리, API 명세서, 보안 설계 문서, 테스트 코드, 배포 가이드 등 개발 전 과정의 산출물을 AI가 자동으로 생성한다. 각 단계에서 이뤄진 의사결정 과정 역시 모두 문서로 남겨 추적이 가능하다. 박 SA는 "하나의 AI 에이전트가 아니라 11개의 전문 AI 에이전트가 이 역할들을 수행하면서 각각 역할을 교대로 수행한다"며 "설계 단계에서는 설계 에이전트가, 구축 단계에서는 구축 에이전트가 서로 협업하게 된다"고 말했다. 이어 "AI가 무엇을 했고 사람이 무엇을 했는지를 다 감사 기능으로 남겨 놓는다"며 "AI가 바뀌거나 사람이 나중에 바뀌거나 신입이 들어오더라도 전체를 누구나 이해할 수 있는 형태로 유지하는 맥락을 축적하는 기능이 있다"고 덧붙였다. AWS는 AI-DLC를 구현하는 대표 도구로 스펙 기반 AI 개발 도구인 키로도 소개했다. 키로는 프롬프트를 입력하면 즉시 코드를 생성하는 기존 AI 코딩 도구와 달리 요구사항과 설계를 먼저 문서화한 뒤 코드를 생성하는 방식이다. 단계별 사람의 승인을 거치는 스펙 기반 개발과 테스트·문서화·보안 점검 등을 자동 수행하는 '에이전트 훅', 조직의 개발 규칙을 AI가 학습하는 '스티어링', 외부 시스템과 연동하는 'MCP' 등을 지원한다. AWS가 공개한 오픈소스 벤치마크 결과에 따르면 동일한 AI 모델로 같은 작업을 수행했을 때 키로의 작업당 비용은 경쟁 도구 대비 6분의 1에서 10분의 1 수준으로 나타났다. 이어진 파이어사이드 챗에서는 AWS 서밋 서울 2026 'AI-DLC 챌린지' 우승팀인 현대해상과 LG유플러스, SK AX가 각각 AI 업무 인텔리전스 플랫폼과 차량 내 다중 화자 AI 에이전트, RFP 분석 자동화 시스템 등을 소개하며 AI 주도 개발 활용 사례를 공유했다. AWS는 앞으로 AI 시대 개발자의 역할 역시 크게 변화할 것으로 전망했다. 단순히 코드를 작성하는 역할에서 벗어나 AI와 함께 설계하고 검증하는 역할이 중요해질 것이라는 설명이다.2026-07-16 14:00:38
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 반도체 호황에 취한 정부, 민생은 무너진다](https://image.ajunews.com/content/image/2026/10/15/20261015173614583906_518_323.jpg)