CI 값 유출, 이번엔 티빙

 

요즘 뉴스를 보면 한국이 홍역을 앓고 있다. IT 쪽에선 티빙으로 시끄러운데, CI 값이 유출됐다며 2차 피해를 우려하는 기사가 쏟아졌고 "제2의 주민등록번호가 털렸다"는 헤드라인이 도배가 됐다. 이 사건이 이 정도로 야단법석 떨 정도인가? 냉정하게 CI는 어제오늘 새던 값이 아니다. 정작 더 충격적인 사실은 따로 있다.

 

먼저 무슨 일이 있었는지 보자. 2024년 6월, 신원 미상의 해커가 티빙의 데이터베이스에 정상적으로 로그인을 했다. 비집고 들어온 게 아니라 열쇠로 문을 연 것이다. 그리고 회원 테이블을 통째로 긁어가는 조회 쿼리를 던졌다. 이름, 생년월일, 성별, CI, DI, 휴대폰 번호, 이메일, 환불 계좌번호까지. DB가 버벅거릴 만큼 긁어대다 들통이 났고, 티빙은 부랴부랴 KISA에 신고를 한다. 그 시점이 절묘한데, 의무 기한인 24시간을 딱 1분 남긴 23시간 59분 만이었다. 과제를 마감 직전에 내는 심정, 기업이라고 다를 게 없는 것이다.

 

자, 그럼 CI가 대체 뭔지부터 풀어야 한다. CI(Connecting Information : 연계정보)는 한마디로 '주민등록번호를 대신하는 값'이다. 2010년대 초, 네이트와 싸이월드에서 3,500만 명, 넥슨에서 1,300만 명의 정보가 털리며 주민번호가 사실상 전 국민 공개 상태가 되자 정부는 주민번호 수집을 막고 아이핀(i-PIN)을 내놨다. 그런데 그 공공 아이핀마저 중국발 해커에 의해 75만 건이 부정 발급되며 뚫렸다. 결국 손에 스마트폰 본인인증 체계를 도입했다. 이 때 통신사가 인증 후 넘겨주는 값이 CI와 DI다. DI가 사이트마다 다른 값이라면, CI는 모든 사이트에서 동일하게 찍히는 고유 값이다. 주민번호를 안 쓴다며 만들었지만, 모양만 바꾼 제2의 주민등록번호인 셈인 것이다.

 

그래서 난리칠 정도인가? 사실 CI가 유출돼도 내 스마트폰이 해킹되거나 내 이름으로 대출이 되거나 통장에서 돈이 빠지지는 않는다. 주민번호 하나로 사칭이 안 되는 것과 같다. 진짜 위험은 'A 사이트, B 사이트에서 따로 새어 나온 내 데이터를 한 사람으로 합칠 수 있는 열쇠'라는 점이다. 흩어진 조각을 하나로 꿰는 고유 식별자, 그것이 CI를 지켜야 하는 이유다. 그리고 이 값은 티빙만 흘린 게 아니다. 모두투어부터 최근 CU 택배까지, 유출 항목을 들춰보면 CI는 늘 끼어 있었다. 그래서 새삼스럽지 않은 일이고 야단법석 떨 일인가 싶은 것이다.

 

진짜 문제는 티빙이 사고 후 취한 조치 목록에 "하드코딩된 자격 증명을 제거, 교체했다"는 문장이 있다. 하드코딩(hard-coding : 비밀번호 같은 값을 소스 코드에 글자 그대로 박아 두는 것)이라는 단어가 여기 등장한다는 것 자체가 포인트다. 소스 코드에 DB 비밀번호를 그대로 적어두는 하드코딩은 그 코드를 훔치는 순간 DB 열쇠를 통째로 건네주는 꼴이 된다. 해커가 '정상 로그인'을 했다는 사실과 겹쳐 보면, 어딘가 노출되어 있던 열쇠가 그대로 쥐어졌을 가능성을 추정하게 된다. 제2의 주민등록번호는 CI는 오랫동안 암호화 규정 자체가 없었다. 기준이 없으니 아무도 안 한 것이다. 그 기준이 법으로 정해진 건 2025년에 와서다. 사고는 늘 규정보다 빨랐다.

 

그래서 이번 사건이 마냥 나쁘기만 한 건 아니다. 유출 목록 한 줄로 조용히 흘러가던 CI가 다시 조명을 받았으니 말이다. 다만 방향은 분명히 하자. CI가 털렸다고 세상이 무너지는 양 겁먹을 일도, 늘 새던 거니 괜찮다고 넘길 일도 아니다. 배워야 할 건 'CI도 주민번호만큼 지켜야 할 데이터'라는 인식의 전환과 코드에 열쇠를 박아 두는 관행을 끝내는 것이다. 정작 무서운 건 유출된 값이 아니라, 그것을 지키는 기준이 늘 사고 뒤에 도착한다는 사실 아닐까 싶다.