휴면·탈퇴 계정만 1737만개… SNS 간편가입도 2247만개
한 사람이 최대 13개 계정… 실제 피해자 수는 추가 분석

온라인동영상서비스(OTT) 티빙의 개인정보 유출 사고로 외부에 빠져나간 계정이 중복을 포함해 4천만개에 육박한 것으로 확인되면서 실제 이용자 수보다 훨씬 많은 계정이 유출 대상에 포함된 배경에 관심이 쏠린다.

과학기술정보통신부 민관합동조사단이 3일 발표한 조사 결과에 따르면 공격자가 유출한 티빙 계정은 활성화 계정 2천206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개 등 모두 3천954만개에 달했다.

이는 실제 이용자 수나 피해자 수가 아니라 중복을 포함한 계정 수다.

조사단은 동일인이 여러 개의 계정을 보유할 수 있는 티빙의 가입 구조를 분석한 결과 한 사람이 최대 13개 계정을 보유한 사례도 확인했다.

따라서 3천954만개 계정이 모두 서로 다른 개인의 정보라는 의미는 아니다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 계정별 유출 항목과 중복 여부 등을 추가 분석한 뒤 확정할 예정이다.

◇ 휴면·탈퇴 회원까지 포함…비활성 계정만 1천700만개

유출 계정 규모가 커진 가장 큰 이유 가운데 하나는 현재 서비스를 이용하지 않는 회원들의 계정까지 포함됐기 때문이다.

유출된 계정 가운데 로그인이 가능한 활성화 계정은 2천206만개였지만 휴면 계정 850만개와 탈퇴 계정 887만개도 외부로 유출된 것으로 조사됐다.

휴면·탈퇴 계정을 합친 비활성 계정만 1천737만개에 달한다.

탈퇴 회원의 경우에도 전자상거래법 등 다른 법률에 따른 정보 보관 의무가 있어 일부 개인정보가 시스템에 남아 있을 수 있다.

결국 현재 이용자뿐 아니라 장기간 접속하지 않은 휴면 회원과 탈퇴 회원의 계정까지 유출 대상에 포함되면서 전체 계정 수가 크게 늘어난 것으로 풀이된다.

◇ SNS 간편가입만 2천247만개…다양한 가입 경로도 영향

티빙이 다양한 경로를 통해 이용자를 확보하면서 축적한 계정 정보 역시 이번 유출 범위에 포함됐다.

가입 방식별로 보면 티빙 자체 가입 계정은 726만개, CJ ONE 통합회원 계정은 863만개였다.

특히 네이버와 카카오[035720], 페이스북, 애플, 엑스(X·옛 트위터) 등을 통한 사회관계망서비스(SNS) 간편가입 계정은 2천247만개에 달했다.

SNS 간편가입 계정만 전체의 절반 이상을 차지하면서 다양한 가입 경로를 통해 축적된 계정이 이번 유출 규모에 함께 반영된 것으로 풀이된다.

자체 회원뿐 아니라 통합 멤버십과 SNS 간편로그인 등 다양한 가입 경로를 통해 축적된 계정 정보가 사고 발생 시 유출 범위를 키울 수 있음을 보여준다.

◇ 계정마다 유출 정보 달라…실제 피해 규모 추가 분석

유출된 개인정보의 양과 종류는 계정마다 차이가 있었다.

조사단은 ID와 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등을 포함해 모두 20개 항목, 70종의 정보가 유출된 것으로 확인했다.

다만 모든 계정에서 같은 정보가 유출된 것은 아니다.

본인인증 과정에서 생성되는 CI를 보유한 계정 1천904만개에서는 평균 11.1개 항목이 유출된 반면 CI가 없는 계정 2천40만개에서는 평균 4.6개 항목이 유출됐다.

CI 미보유 계정의 경우 본인인증 절차를 거치지 않아 성명이나 연락처, 이메일 주소 등이 누락됐거나 부정확한 데이터인 사례도 다수 확인됐다.

결국 유출 계정이 4천만개에 육박한 것은 휴면·탈퇴 계정을 포함한 누적 계정에 통합회원·SNS 간편가입 등 다양한 경로의 계정과 복수 계정까지 합산된 결과다.

따라서 현재 공개된 3천954만개는 실제 피해자 수와는 차이가 있으며, 개인정보 유출의 실제 영향 범위는 추가 분석을 거쳐 확정될 전망이다.

과기정통부는 현재까지 유출 정보를 악용한 스미싱이나 보이스피싱 등 실제 2차 피해 사례와 다크웹 등을 통한 불법 거래·유통 정황은 확인되지 않았다고 밝혔다.

<연합>