据确认,在线视频服务(OTT)平台TVING发生3954万个用户账户信息以及包含源代码在内的361个开发项目外泄事件。韩国科学技术信息通信部(副总理兼科学技术信息通信部长官裴敬勋)于9月3日公布了TVING入侵事故官民联合调查团的上述调查结果。
 [코리안투데이] TVING入侵事故调查结果发布 © 장형임 기자 |
科学技术信息通信部于9月3日公布了针对TVING入侵事故的官民联合调查团(以下简称调查团)的调查结果,并公开了事故原因、损失规模及防止再次发生的对策。
事故的暴露始于今年5月30日,当时TVING数据库(DB)服务器因工作负荷过大而出现系统过载现象。TVING在分析异常征兆的过程中,发现有未授权人员擅自访问内部服务器并查询用户信息,遂于6月1日向韩国互联网振兴院(院长李相中,KISA)申报了入侵事故。科学技术信息通信部于6月2日会同KISA展开现场调查,并于6月3日经入侵事故调查审议委员会审议后,组建了官民联合调查团。
调查团将访问密钥被窃取的经过、攻击者的入侵路径、信息外泄规模以及全公司层面的信息保护管理体系等设定为调查范围。为此,调查团对9台开发者终端(8台笔记本电脑、1台台式机)进行了取证分析,并对安保设备、数据库、系统日志进行了关联分析。调查对象数据涵盖了自2011年3月至2026年5月期间持有的约3.5TB数据库以及约5TB的安保设备日志。
损失发生在技术资产和用户信息两个方面。在技术资产方面,包含源代码在内的361个开发项目(30.35GB)遭到外泄。其中包含了定制内容推荐及搜索算法、用户管理与认证体系、支付管理、付费服务运营等TVING运营所必需的核心技术。调查团判断,攻击者有可能借此分析并掌握漏洞,用于二次攻击,但截至目前尚未发现进一步的攻击迹象。
用户信息的外泄规模更为庞大。包括可登录的2206万个活跃账户,以及含850万个休眠账户和887万个已注销账户在内的1737万个非活跃账户,再加上11万个测试账户等,连同重复部分在内共计3954万个账户外泄。TVING采用同一人可持有多个账户的结构,经确认甚至有一名用户最多持有13个账户的情况。按注册方式划分,自主注册726万个、CJ ONE整合会员863万个,以及Naver、Kakao、Facebook、Apple等社交账号便捷注册2247万个等。
外泄的项目包括账号ID、经单向加密的密码、姓名、手机号码、电子邮箱地址、出生年月日、连接信息(CI)等20个项目(70种)。密码经单向加密,无法还原为明文,但手机号码和电子邮箱地址即便部分经过加密,由于加密密钥一并外泄,实际暴露程度与明文相当。在本人认证过程中生成的、持有CI的1904万个账户平均外泄了11.1个项目,未持有CI的2040万个账户平均外泄了4.6个项目。不过,未持有CI的账户中相当一部分是姓名或联系方式不准确或缺失的数据。具体的个人信息外泄规模,将由个人信息保护委员会经详细分析后予以确定。
事故的起因是开发者所持有的访问密钥被窃取。攻击者事先窃取了开发者的「开发环境访问密钥」,擅自接入开发环境后,将361个开发项目全部窃走。随后,攻击者利用被硬编码在源代码中或以明文形式放置的43个「运营环境访问密钥」中的2个,侵入了基于云的运营环境(AWS)。5月30日首次试图外泄时,DB服务器CPU使用率飙升至100%,触发异常征兆警报而被拦截;但在5月31日的第二次尝试中,攻击者将CPU占用率控制在10%以内,创建虚拟服务器,将24GB用户信息外泄后抹去了痕迹。
调查团在TVING的信息保护管理体系整体中发现了结构性问题。访问密钥原封不动地暴露在源代码中,或通过公司内部通讯软件被随意共享;所有开发者都被赋予了对全部项目的访问权限,形成了只要窃取一把密钥便可攻破全局的结构。既没有实时侦测并拦截异常行为的体系,相较于265名员工、149名开发人员的规模,信息保护专职人员却仅有4名左右。尤其是在2024年的模拟黑客测试中,已发现访问密钥硬编码漏洞,却未予处理;而新引进的安保设备(VPN)的访问记录仅保存了6天。
这意味着,从用户角度看,个人信息随时可能引发短信钓鱼、语音钓鱼等二次伤害,或流向暗网进行非法交易。TVING自6月3日起运营了专门的受害咨询呼叫中心,调查团在发布全民安全公告的同时,加强了对暗网、黑客论坛等的实时监控。截至目前,尚未发现用户受害案例或非法流通迹象。
TVING未能遵守《信息通信网法》中关于在知悉入侵事故后24小时内申报的义务。调查团判定,情况传达至信息安保团队的5月31日上午10时10分为知悉时点,但实际申报却是在超过24小时后的6月1日下午3时8分才进行,因而成为处以3000万韩元以下罚款的对象。
作为防止再次发生的对策,调查团提出了建立密钥管理与访问权限体系、加强异常行为侦测及大量数据查询监控、确保充足的信息保护人力与预算、制定日志存储管理政策并强化漏洞处理等措施。科学技术信息通信部将于9月内收取TVING提交的履行计划,在10至12月检查履行情况,并从明年1月起确认履行状况,对不足之处将依据《信息通信网法》下达整改命令。
政府层面的后续措施也将陆续跟进。本月11日起施行的修订版《个人信息保护法》规定,对于反复发生或因故意、重大过失导致的大规模泄露,可处以最高相当于全部销售额10%的惩罚性罚款。10月1日起施行的修订版《信息通信网法》则将企业扩充信息保护人力与预算规定为义务,并新设了政府可在申报前即启动调查的依据,以及对不认真履行防止再次发生对策的企业征收履行强制金的条款。
지역 홍보대사 신청 기자양성과정 신청 코리안투데이 지부장 신청 코리안투데이 인천강화코리안브랜드대상 신청 최고경영인대상 신청 소비자만족도대상 신청
<저작권자 ⓒ 코리안투데이(The Korean Today) 무단전재 및 재배포 금지>
