티빙 개인정보 유출 확인 결과가 오늘 공식 발표되었습니다. 과학기술정보통신부 민관합동조사단은 지난 5월 발생한 티빙 침해사고 조사 결과, 활성화 계정 2206만개를 포함해 총 3954만개 계정의 개인정보가 유출되었다고 밝혔습니다. 단순히 계정 수만 보면 국내 OTT 가운데 큰 사고이지만, 한 사람이 여러 계정을 보유한 경우가 많아 실제 피해자는 계정 수보다 적을 수 있습니다.
| 구분 | 내용 |
|---|---|
| 유출 계정 | 활성화 2206만개, 휴면 850만개, 탈퇴 886만개, 테스트 10만개 등 총 3954만개 |
| 유출 항목 | 아이디, 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, CI 등 20개 항목 |
| 기술 자산 | 개발 프로젝트 361건, 총 30.35GB |
| 과태료 | 정보통신망법 신고 의무 위반으로 최대 3000만원 |
| 고객 보상 | 안심보험 1년, 5000원 포인트, 부가 이용권 등 |
이번 조사 결과에서 가장 눈에 띄는 점은 중복 계정이 많다는 사실입니다. 티빙은 SNS 간편가입 계정이 2247만개로 가장 많았고, 티빙 자체 가입 계정은 726만개, CJ ONE 통합회원 계정은 863만개로 파악되었습니다. 한 명의 이용자가 최대 13개 계정을 보유한 사례도 있어 계정 수와 실제 피해자 수는 다를 수 있습니다.
목차
티빙 개인정보 유출 확인 어떤 정보가 빠져나갔는지
조사단은 유출된 개인정보 항목이 총 20개 항목(70종)이라고 확인했습니다. 아이디, 비밀번호, CJ ONE 통합 ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, CI 등이 포함됩니다. CI는 주민등록번호를 대체하고 개인을 식별하는 연계정보입니다. 휴대전화 번호와 이메일 주소는 일부 암호화된 상태였지만 암호화 키가 함께 유출되어 사실상 평문 정보와 같은 수준으로 판단했습니다. 비밀번호는 일방향 암호화가 적용되어 평문으로 복호화할 수 없는 상태입니다.
계정 특성에 따라 유출된 정보 범위도 달랐습니다. CI를 보유한 계정은 중복을 제거하면 1324만개였고, 이들 계정에서는 평균 11.1개 항목이 유출되었습니다. CI가 없는 계정은 평균 4.6개 항목이 유출되었습니다. 전체 유출 계정 3954만개에서 테스트 계정을 제외하고 CI 보유 계정의 중복만 제거하면 3364만개로 줄어듭니다. 다만 CI가 없는 계정은 동일인 여부를 확인하기 어려워 정확한 피해자 수는 아직 발표되지 않았습니다. 개인정보보호위원회가 추가 분석 후 구체적인 수치를 공개할 예정입니다.
이번 조사 결과의 세부 내용은 언론 보도를 통해서도 확인할 수 있습니다. 아래 버튼을 누르면 관련 기사로 이동합니다.
티빙 개인정보 유출 확인 공격 경로와 보안 문제
조사단은 공격자가 티빙 개발자의 개발환경 접속키를 탈취해 내부 시스템에 침투했다고 밝혔습니다. 공격자는 두 차례에 걸쳐 개발 프로젝트를 빼냈고, 1차 공격에서 14건, 2차 공격에서 361건을 유출했습니다. 유출된 프로젝트에는 콘텐츠 추천 알고리즘, 이용자 인증체계, 결제 운영 관련 소스코드 등 티빙의 핵심 기술 자산이 포함되었습니다. 특히 43개 프로젝트에는 운영환경에 접속할 수 있는 키가 들어 있었고, DB 접속정보도 평문으로 저장되어 있었습니다.
공격자는 확보한 운영환경 접속키와 DB 접속정보를 활용해 이용자 정보를 빼내려 했습니다. 1차 시도에서는 DB 서버 CPU 사용률이 100%까지 올라가면서 이상징후 알림이 발생해 차단되었지만, 이튿날 가상서버 생성 권한이 있는 키를 이용해 내부 가상서버를 만든 뒤 24GB 규모의 이용자 정보를 외부로 빼냈습니다. 이후 흔적을 지우기 위해 가상서버를 삭제한 것도 확인되었습니다.
조사단은 티빙의 보안 체계 전반에 문제가 있었다고 판단했습니다. 개발환경 접속키를 소스코드에 노출하거나 평문으로 저장하고 사내 메신저로 공유한 사실이 확인되었습니다. 모든 개발자에게 전체 개발 프로젝트 접근 권한이 부여되어 있어 접속키 하나만 탈취되어도 프로젝트 전체가 노출될 수 있었습니다. 정보보호 전담 인력은 4명뿐이었고, 2024년 모의해킹에서 발견된 하드코딩 취약점도 개선하지 않았습니다. 또 사고 인지 후 한국인터넷진흥원에 신고하기까지 약 29시간이 걸려 법정 신고 기한인 24시간을 넘겼습니다. 이에 따라 정보통신망법 위반으로 최대 3000만원의 과태료가 부과될 예정입니다.
티빙 개인정보 유출 확인 이후 고객 보상과 재발 방지 대책
티빙은 이번 사고에 대해 공식 사과하고 보상안을 발표했습니다. 대표이사가 직접 고개 숙여 사과하면서 지적된 사항에 대한 시정 조치와 재발 방지 대책을 끝까지 이행하겠다고 밝혔습니다. 정보보호 투자는 직전 5년 대비 약 4배로 확대하고, 정보보호 전담 인력도 현재의 3배 수준으로 늘리겠다고 했습니다. 보안 원칙은 제로 트러스트 방식으로 전환해 인증과 접근 통제를 단계별로 검증하겠다고 설명했습니다.
고객 보상안
티빙이 준비한 고객 보상안을 표로 정리하면 다음과 같습니다.
| 보상 항목 | 내용 |
|---|---|
| 안심보험 | 해킹, 피싱 사기 피해 보상 1년, 1인당 최대 300만원 |
| 포인트 | 5000원 상당 티빙 포인트 |
| 추가 선택 | 웨이브 광고형 요금제 1개월 또는 CGV 할인 쿠폰 |
| 시청 환경 | 프리미엄급 시청 환경 자동 업그레이드 |
| 신청 기간 | 9월 7일부터 30일, 10월 6일 적용 |
재발 방지 대책
과기정통부는 티빙에 이달 중 재발 방지 대책 이행계획을 제출하도록 했습니다. 티빙은 10월부터 12월까지 대책을 이행하고, 과기정통부는 내년 1월부터 이행 여부를 점검할 예정입니다. 점검 결과 보완이 필요한 사항이 있으면 정보통신망법에 따라 시정조치를 명령할 계획입니다. 로그 저장관리 정책을 수립하고 주기적인 모의해킹과 취약점 점검, 자체 보안규정 준수 여부 점검 등도 요구되었습니다.
마무리하며
티빙 개인정보 유출 확인 결과를 종합하면, 계정 수 기준으로는 매우 큰 사고이지만 중복 계정을 고려하면 실제 피해자는 계정 수보다 적을 수 있습니다. 그렇다고 해서 안심할 수 있는 상황은 아닙니다. 성명, 휴대전화 번호, 이메일, 생년월일, CI 등 민감한 정보가 다수 유출된 만큼 이용자들의 각별한 주의가 필요합니다.
이번 사고를 접하면서 OTT 계정 하나에 이렇게 많은 개인정보가 연결되어 있다는 사실이 새삼 놀라웠습니다. SNS 간편가입이 많아 계정이 쉽게 늘어날 수 있는 구조가 피해 규모를 키운 측면도 있습니다. 앞으로는 자신이 가입한 서비스가 어떤 정보를 보관하고 있는지 점검하고, 사용하지 않는 계정은 정리하는 습관이 필요합니다.
개인정보 보호를 위해 지금 바로 실천할 수 있는 일은 다음과 같습니다.
- 사용하지 않는 OTT 계정은 탈퇴하거나 정리합니다.
- 비밀번호를 주기적으로 변경하고 다른 사이트와 같은 비밀번호를 사용하지 않습니다.
- 2단계 인증을 설정해 로그인 보안을 강화합니다.
- 의심스러운 문자나 이메일의 링크는 클릭하지 않습니다.
이번 티빙 사고가 다른 기업들에게도 정보보호 투자의 중요성을 다시 생각하게 하는 계기가 되길 바랍니다. 보안은 선택이 아니라 필수입니다. 티빙이 약속한 대책이 실제로 지켜지는지 지켜보고, 이용자들도 스스로 정보를 보호하는 습관을 가지는 것이 중요합니다.
자주 묻는 질문
Q: 티빙 개인정보 유출로 어떤 정보가 빠져나갔나요?
A: 아이디, 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, CI 등 20개 항목이 유출되었습니다. 비밀번호는 일방향 암호화되어 평문 복호화가 어렵지만, 전화번호와 이메일은 암호화 키가 함께 유출되어 사실상 평문과 같은 수준입니다.
Q: 티빙 보상은 어떻게 신청하나요?
A: 9월 7일부터 30일까지 보상 패키지를 신청하면 됩니다. 안심보험 1년, 5000원 포인트, 웨이브 이용권 또는 CGV 할인 쿠폰 중 하나를 받을 수 있고, 별도 신청 없이 프리미엄급 시청 환경으로 업그레이드됩니다.
Q: 유출 계정 3954만개가 실제 피해자 수인가요?
A: 아닐 수 있습니다. 한 사람이 최대 13개 계정을 보유한 사례가 있을 정도로 중복 계정이 많습니다. CI 보유 계정의 중복을 제거하면 1324만개 수준이며, CI 미보유 계정까지 포함한 정확한 피해자 수는 추가 분석 후 발표될 예정입니다.
