트위치: 서버 설정 오류 하나로 소스 코드와 크리에이터 수익이 유출되다

2021년 10월 6일, 익명의 사용자가 약 128GB 규모의 토렌트를 4chan에 게시했다. 여기에는 거의 6,000개의 내부 Git 저장소에서 나온 소스 코드, 'Vapor'라는 코드명의 스팀 경쟁 서비스 계획, 모바일 및 데스크톱 클라이언트, 그리고 2019년 8월 이후 거의 240만 명의 스트리머에 대한 수익 지급 기록 등 트위치의 '전부'가 포함됐다. 게시자는 이를 더 큰 규모의 유출 중 '1부'라고 불렀다.

트위치는 하루 만에 침해 사실을 확인했다. 회사는 악의적인 제3자가 악용한 서버 구성 오류로 침입이 발생했다고 밝혔고, 로그인 자격 증명이나 신용카드 데이터가 유출됐다는 징후는 발견하지 못했다고 밝혔으며, 예방 조치로 플랫폼의 모든 스트림 키를 재설정했다. 그러나 수익 지급 데이터는 진짜였다. 언론은 이를 바탕으로 플랫폼 최고 수익자 순위를 매겼는데, 크리티컬 롤이 960만 달러, xQc가 연 850만 달러로 선두였고, 이 수치들은 트위치의 경제 구조를 모두가 볼 수 있게 뒤집어 놓았다.

이 유출은 크리에이터들의 반발이 한창일 때 터졌다. 몇 달 전 스트리머들은 플랫폼의 구독 수익 50/50 분배와 미흡한 모더레이션에 반발해 #ADayOffTwitch 보이콧을 벌였다. 이제 회사의 코드와 로드맵, 급여 내역이 공개됐고, 연 960만 달러를 버는 최고 수익자들이 그 일부에 불과한 수익을 버는 긴 꼬리와 나란히 놓였다. 트위치가 결코 공개하지 않았을 초상이었다.

약 6,000개의 내부 저장소 소스 코드가 노출됐고, 240만 명 스트리머의 수익 지급 내역이 공개됐으며, 모든 스트림 키가 재설정됐고, 최고 수익자들의 수익 격차가 공개됐다.

서버 구성 변경은 코드 배포와 같은 수준의 검토 규율로 통제되지 않아, 설정 하나가 잘못되면서 프로덕션 데이터 저장소가 노출됐다.

소스 코드, 미공개 제품 계획, 크리에이터 수익 지급 기록이 같은 잘못 구성된 문 뒤에 있었다. 핵심 자산 사이에 분리가 없었다.

수익 지급 기록이 가장 타격이 큰 자산이었다. 회사는 수익 분배 요구와 관련해 비공개로 싸워 왔는데, 유출로 회사 자신의 협상 입장이 공개됐다.

코드베이스와 사용자들의 수익이 그 위에 달려 있다면, 잘못 구성된 서버는 작은 버그가 아니다. 소스 코드, 비밀 정보, 수익 지급 기록에는 로그인 정보와 같은 수준의 보안 강화가 필요하다.

트위치는 플랫폼 전체의 스트림 키를 재설정하고 크리에이터들에게 회사를 사칭한 피싱 공격에 대비하라고 당부했다. 공개된 수익 표는 진행 중이던 수익 분배 싸움에 곧바로 영향을 미쳤고, 2022년 9월 트위치 사장 댄 클랜시는 최고 스트리머들을 위한 개선된 구독 수익 조건을 발표했다. 이는 유출 후폭풍이 일부 강제한 양보였다. 아마존에게는 거의 6,000개의 내부 저장소 노출이 일상적인 구성 검토를, 2014년에 약 10억 달러에 인수한 플랫폼의 수년에 걸친 보안 재구축으로 바꿔 놓았다.