해커 표적 된 '깃허브 키'…정보유출보다 DB접근 공격 '심각' 작성일 06-12 41 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">티빙 신고서에 AWS 키 폐기·자격증명 교체<br>데이원도 마스터 계정 키값 탈취 통지</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="B8fE0AAity"> <figure class="figure_frm origin_fig" contents-hash="828223079f923a4e9ae7e8c7f66b5d68524e532ee576d3471f68aedef5c0b199" dmcf-pid="b64Dpccn1T" dmcf-ptype="figure"> <p class="link_figure"><img alt="티빙 해킹 신고서를 기반으로 확인된 침해 사실을 생성형AI로 재구성한 그래픽" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053156907whny.jpg" data-org-width="1400" dmcf-mid="70hPI44qZG" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053156907whny.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 티빙 해킹 신고서를 기반으로 확인된 침해 사실을 생성형AI로 재구성한 그래픽 </figcaption> </figure> <p contents-hash="fc72725c168d5ff67219a514cca796f36e6df56553956b8804930358b7043fd5" dmcf-pid="KP8wUkkLGv" dmcf-ptype="general">(서울=뉴스1) 김민수 기자 = 국내 온라인 서비스 개인정보 유출 사고가 개발자 저장소 '깃허브(GitHub)'의 자격증명 관리 문제로 번지고 있다. 개발자가 코드를 올려두는 공간에 클라우드 접근키나 계정 키값이 노출되거나 탈취될 경우, 이 정보가 데이터베이스(DB) 침입 통로로 악용될 수 있어서다.</p> <p contents-hash="2f805f9fed97656e0ee9c10a44b1d68bd273a3cf115509ede89875a06947d6cb" dmcf-pid="9Q6ruEEoHS" dmcf-ptype="general">12일 뉴스1 취재를 종합하면 온라인동영상서비스(OTT) 티빙과 교육 서비스 기업 데이원컴퍼니 개인정보 유출 사고에서 모두 깃허브 자격증명 관리 문제가 침해 경로를 가늠할 주요 단서로 떠올랐다. 단순 개인정보 유출이나 서비스 장애가 아니라, 개발·운영 환경 접근 권한을 노린 공격이 DB 접근으로 이어지는 양상이다.</p> <h3 contents-hash="105836e9eb56c40e8b9b4a5adc45074921d27ec6dc9e1a845cd4d79fb784d9bd" dmcf-pid="2HYfr99UYl" dmcf-ptype="h3">신고서에 남은 단서…AWS 키 폐기·깃허브 자격증명 교체</h3> <p contents-hash="54c0c43632d1e7e48248ba947d14de9e7744205e278cb8d05119b84ca0f108c9" dmcf-pid="VXG4m22u1h" dmcf-ptype="general">뉴스1이 국회 과학기술정보방송통신위원회 소속 노종면 더불어민주당 의원실과 함께 입수한 티빙 침해사고 신고서에 따르면 티빙은 DB 서버 중앙처리장치(CPU) 사용률이 100%까지 올라간 이상 동작 확인 중 해킹 상황을 발견했다. 비인가자의 DB 접근과 쿼리 실행 정황을 파악한 것이다.</p> <p contents-hash="7659fe4bd72d48ac53c46bb1941e50d25cc28ad2f14fcc4f455c236c844cbd84" dmcf-pid="fZH8sVV7tC" dmcf-ptype="general">신고서에 적힌 사고 제목은 '비인가 접근에 의한 침해사고 신고'다. 티빙은 DB 서버 CPU 100% 발생에 따른 이상 행위를 확인했고, 비인가자가 접근해 쿼리를 실행한 사실 등을 확인했다고 적었다. 쿼리는 DB에서 필요한 정보를 조회하거나 수정하도록 내리는 명령을 뜻한다.</p> <p contents-hash="a0df1cff5137b8e124e42ff36209af5e85f82284bc3abefc8f8adada301fec0c" dmcf-pid="45X6OffzGI" dmcf-ptype="general">티빙은 이후 내부 시스템 접근 등을 역추적한 결과, 비인가자가 내부 시스템과 데이터에 접근을 시도한 정황을 확인했다. 피해 사실을 알기 전 나타난 이상 징후로는 'DB 실패 알람 및 CPU 사용량 증가'가 기재됐다.</p> <p contents-hash="36a76ec00810f0727bd736687bbf0f88af05ba18c486c037183b53ff7af0b69d" dmcf-pid="81ZPI44qGO" dmcf-ptype="general">눈에 띄는 대목은 사고 뒤 조치사항이다. 티빙은 공격자 사용자 자격증명 즉시 비활성화, 공격에 사용된 것으로 확인된 아마존웹서비스(AWS) 액세스 키 폐기, 깃허브에 하드코딩된 자격증명 제거·교체, AWS 클라우드 접근 통제 정책 변경 등을 조치했다고 신고서에 적었다.</p> <p contents-hash="5668677fb87d0fcdf96535d4dfaadd033f7e0d109b40a64bcaced50f039760af" dmcf-pid="6t5QC88B5s" dmcf-ptype="general">AWS 액세스 키는 클라우드 서버나 저장소, DB에 들어갈 때 쓰는 인증 정보다. 쉽게 말하면 클라우드에 들어가는 출입증이다. 이 키가 외부에 노출되면 공격자는 정상 권한을 가진 사람처럼 서버나 DB에 접근할 수 있다.</p> <p contents-hash="cb16b38127ccf598902206e7d970885d6449645c3fa44b99b1128b7a541af0bb" dmcf-pid="PF1xh66bXm" dmcf-ptype="general">깃허브는 개발자들이 소스코드를 올리고 수정 이력을 관리하는 플랫폼이다. 문제는 소스코드 안에 비밀번호, 토큰, 클라우드 접근키 같은 민감 정보가 그대로 들어갈 때 생긴다. 원래 따로 안전하게 보관해야 할 열쇠를 코드 안에 직접 써 넣는 셈이다.</p> <p contents-hash="2ff82179227e216452353cde7befe9cad968c5bc83455a4e9974c426a8cce8f7" dmcf-pid="Q3tMlPPKYr" dmcf-ptype="general">김명주 서울여대 정보보호학과 교수는 "신고서 내용을 보면 취약점을 뚫고 들어간 공격이라기보다 DB에 접근할 수 있는 AWS 액세스 키가 깃허브에 노출됐을 가능성이 있어 보인다"고 말했다.</p> <p contents-hash="c3e46980b3b076b627488d238c8367c688b48190491aa3b89d947da8f101fd88" dmcf-pid="x0FRSQQ9Zw" dmcf-ptype="general">다만 단정은 금물이다. 보안업계 한 관계자는 "내부 시스템을 정확히 들여다보지 않는 이상 명확하게 이 경로라고 말하기는 어렵다"며 "신고서상으로는 CISO가 지정돼 있고 하루 안에 신고와 주요 조치가 이뤄진 것으로 보인다"고 평가했다. </p> <figure class="figure_frm origin_fig" contents-hash="4ea8abedae52b09444f570b5eaa50cf3f8b0d1ccb214328333949751b992921e" dmcf-pid="yNgY6TTsYD" dmcf-ptype="figure"> <p class="link_figure"><img alt="데이원컴퍼니가 패스트캠퍼스 홈페이지에 게시한 개인정보 유출 사실 통지 공지. (패스트캠퍼스 홈페이지 갈무리) 2026.6.11 ⓒ 뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053157155odaz.jpg" data-org-width="424" dmcf-mid="zsmVwKKp5Y" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053157155odaz.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 데이원컴퍼니가 패스트캠퍼스 홈페이지에 게시한 개인정보 유출 사실 통지 공지. (패스트캠퍼스 홈페이지 갈무리) 2026.6.11 ⓒ 뉴스1 </figcaption> </figure> <h3 contents-hash="e0b706694fa417fa39862a65c0bcff00a8d1c8fbbc8639d212e54ab07355642e" dmcf-pid="WjaGPyyOGE" dmcf-ptype="h3">데이원컴퍼니도 "깃허브 마스터 계정 키값 탈취"</h3> <p contents-hash="8e36216c5a618667bee6c98f8a3a09f472b64538d4265c305828c3a1b48df01d" dmcf-pid="YwEtdZZvZk" dmcf-ptype="general">이후 유사한 사고도 확인됐다. 패스트캠퍼스·콜로소 등을 운영하는 데이원컴퍼니는 전날(11일) 고객들에게 개인정보 유출 통지문을 보내 이름, 이메일 주소, 전화번호, 암호화된 비밀번호가 유출됐다고 알렸다.</p> <p contents-hash="d8713042fc370d039f763bd08e627d6a078e5ee6559ac97541032f3b0775c053" dmcf-pid="GrDFJ55T1c" dmcf-ptype="general">주소와 직무·직책 정보를 입력한 고객은 해당 정보도 함께 유출됐다. 뉴스프레소, 마이라이트, 워너스픽, 샤이니영어 서비스 고객 일부는 택배 메모 정보까지 포함됐을 가능성이 있다.</p> <p contents-hash="5480976f6056e422b4397efe36f24578535ef6625b2a20236691355b40624099" dmcf-pid="Hmw3i11yZA" dmcf-ptype="general">데이원컴퍼니가 통지문에서 밝힌 침입 경로도 깃허브 계정 키 탈취다. 데이원컴퍼니는 "당사가 사용 중인 깃허브 서비스의 마스터 계정 키값이 불상의 시점에 탈취됐으며, 이를 통해 5월 9일 최초로 당사 서비스에 침입이 이뤄졌다"고 설명했다.</p> <p contents-hash="b4c8126391580c7548a77097d43ee784c2a34e362cfe4f131f67eb6d740a0541" dmcf-pid="Xsr0nttWYj" dmcf-ptype="general">데이원컴퍼니는 지난 8일 시스템 내 보안 사고 가능성을 인지하고 관련 위협을 차단했다. 사고와 관련된 서비스의 사용자 계정 키와 주요 권한을 제거하고 재발 방지 조치를 완료했다고도 했다. 현재까지 고객 정보가 공개되거나 악용된 정황은 확인되지 않았다고 안내했다.</p> <p contents-hash="243edc3e2db237ef83f086c8dc8b4972a15e0a715eee3f6041fc7f9830aedf24" dmcf-pid="ZOmpLFFYZN" dmcf-ptype="general">데이원컴퍼니 사례는 티빙 사고와 함께 개발·운영 권한 관리가 개인정보 유출 사고의 주요 변수로 떠오르고 있음을 보여준다. 복잡한 해킹 기술만이 아니라, 서비스 운영에 필요한 핵심 권한이 외부에 노출되거나 탈취되는 것만으로도 내부 시스템 접근으로 이어질 수 있기 때문이다.</p> <figure class="figure_frm origin_fig" contents-hash="377dd9e5ec08c2b8649e6fb73f0d92d6cd1efdf525af2409e3a72eef4547e6a1" dmcf-pid="5IsUo33GYa" dmcf-ptype="figure"> <p class="link_figure"><img alt="티빙 해킹 신고서를 기반으로 확인된 침해 사실을 생성형AI로 재구성한 그래픽" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053158860dufy.jpg" data-org-width="1217" dmcf-mid="qcNHQWWIXW" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/12/NEWS1/20260612053158860dufy.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 티빙 해킹 신고서를 기반으로 확인된 침해 사실을 생성형AI로 재구성한 그래픽 </figcaption> </figure> <h3 contents-hash="0ae816c166c022ed9e440c85f2e7208db6603e1524831c5c796a6631a2e4d4b0" dmcf-pid="1COug00HGg" dmcf-ptype="h3">코드에서 지워도 끝 아니다…과거 기록에 남는 접근키</h3> <p contents-hash="c3dda64d18e67f847703c2bfe826f120800bbde140763263daa7a0112629ff35" dmcf-pid="thI7appXYo" dmcf-ptype="general">깃허브에 자격증명이 노출되는 사고는 드물지 않다. 개발자가 임시로 넣은 비밀번호나 접근키를 지우지 않은 채 코드를 올리고, 공격자가 이를 찾아내는 일이 반복돼 왔다.</p> <p contents-hash="123d4538bd9ad0e7d8f41494c848a8b17bbfa3cbdaa6ca21abd7f90ace60ec26" dmcf-pid="FlCzNUUZtL" dmcf-ptype="general">더 큰 문제는 한 번 올라간 키가 현재 코드에서 삭제됐다고 완전히 사라지지 않는다는 점이다. </p> <p contents-hash="069b95ed85f65f854287251fbeb4afe67b85b9e23ce3750c00a9c9dfe43126a8" dmcf-pid="3Shqjuu5Xn" dmcf-ptype="general">깃허브에는 과거에 올린 코드 변경 기록이 남는다. 이미 외부에 노출된 키라면 코드에서 지우는 것만으로는 부족하고, 해당 키를 폐기한 뒤 새 키로 바꿔야 한다.</p> <p contents-hash="154234746a509469e4b859eae1aa74d921ccbaa3d3c4391caca78251a13a5c67" dmcf-pid="0vlBA771Yi" dmcf-ptype="general">티빙 신고서에 'AWS 액세스 키 폐기'와 '깃허브 하드코딩 자격증명 제거·교체'가 함께 적힌 것도 이 위험과 무관하지 않아 보인다.</p> <p contents-hash="81ed525981233117697107a468df6ba828845a7a44f175b0162d6329589c0dfe" dmcf-pid="pMQszwwaYJ" dmcf-ptype="general">해외에서도 비슷한 사례가 있었다. 우버는 2016년 공격자가 개발자들이 쓰던 비공개 깃허브 저장소에서 로그인 정보를 확보한 뒤 AWS에 저장된 이용자 DB에 접근한 사례가 있다. 이 사고로 이용자와 운전자 5700만 명의 이름, 이메일 주소, 휴대전화 번호 등이 유출된 것으로 알려졌다.</p> <p contents-hash="04c7b7ac32b30b6653a15c4db39d4bd87c95de7e83b8919d6edd8a02be8c7257" dmcf-pid="URxOqrrNtd" dmcf-ptype="general">토요타도 2022년 차량 연결 서비스 '티-커넥트(T-Connect)' 소스코드 일부가 깃허브에 공개되면서 데이터 서버 접근키가 함께 노출된 사고를 겪었다. 해당 코드는 2017년부터 2022년까지 외부에서 접근 가능한 상태였고, 29만 명이 넘는 고객 정보가 영향을 받을 수 있었던 것으로 전해졌다.</p> <p contents-hash="dcd2064bf8ae1464d0ece84f53608badbe33a5043ad1b1c71f977ba29d06ff70" dmcf-pid="ueMIBmmjZe" dmcf-ptype="general">두 사례의 공통점은 고도의 취약점 공격만으로 방어망이 뚫린 게 아니라는 데 있다. 코드 저장소에 남은 자격증명이 내부 시스템으로 들어가는 발판이 됐다. 티빙과 데이원컴퍼니 사고 역시 최종 침해 경로는 조사로 가려야 하지만, 현재까지 드러난 내용만 보면 개발·운영 권한 관리가 핵심 쟁점이 될 가능성이 크다.</p> <p contents-hash="7f38ecc34182a0e32c9f00d998d963eee2a689a0b2a42e4410c7bff80b715faf" dmcf-pid="7dRCbssAtR" dmcf-ptype="general">클라우드 기반 서비스에서는 서버가 어디에 있는지보다 누가 어떤 권한으로 들어갈 수 있는지가 더 중요하다. 개발자, 운영자, 외주업체, 협력사가 같은 코드를 다루는 과정에서 접근키가 코드 안에 들어가거나 시험용 키가 실제 운영 환경 권한을 가진 채 남으면 작은 실수가 대형 침해로 번질 수 있다.</p> <p contents-hash="f6cedbd83164481b55b0ab9f946b389b31849e6ed68e5ae7a934ec37f43a748f" dmcf-pid="zJehKOOctM" dmcf-ptype="general">kxmxs4104@news1.kr </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 美정부·UFC 스포츠외교협약…트럼프 생일밤에 "다시없을 격투쇼" 06-12 다음 프로야구 한화, 대만 국적 왕옌청 아시안게임 차출 두고 고심 06-12 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
