티빙 계정 유출 3954만 건 접속키 하나로 이렇게 당했습니다

오늘 과학기술정보통신부가 티빙 침해사고 민관합동조사 결과를 발표했습니다. 국내 대표 OTT 플랫폼인 티빙에서 중복을 포함해 총 3954만 개 계정 정보가 유출된 것으로 확인됐습니다. 로그인이 가능한 활성화 계정 2206만 개, 휴면 및 탈퇴 계정 1737만 개, 테스트 계정 11만 개가 포함됐습니다. 한 사람이 최대 13개 계정을 보유한 사례도 있어 실제 피해 규모는 개인정보보호위원회가 상세 분석을 거쳐 확정할 예정입니다.

주요 유출 현황을 표로 정리하면 다음과 같습니다.

티빙 계정 유출, 어떤 정보가 빠져나갔나

유출된 정보는 아이디, 성명, 비밀번호, 휴대전화 번호, 이메일 주소, 생년월일, 성별, 연계정보 CI, 중복가입확인정보 DI, 결제 이력 등 20개 항목 70종입니다. 비밀번호는 단방향 암호화가 적용되어 평문으로 복호화할 수 없습니다. 환불 계좌번호도 암호화 상태를 유지했습니다. 다만 휴대전화 번호와 이메일 주소는 일부 암호화되어 있었지만 암호화 키도 함께 유출되어 복호화가 가능했습니다.

CI는 주민등록번호를 대체해 본인인증에 쓰이는 고유값입니다. 티빙에서 유료 결제나 성인 인증을 할 때 생성 및 수집된 것으로, 이번에 1324만 명 수준의 실제 이용자 CI가 빠져나간 것으로 조사됐습니다. CI가 악용되면 다른 서비스에서도 본인인증 우회 시도가 발생할 수 있어 주의가 필요합니다. 조사 결과 CI가 있는 계정은 평균 11.1개 항목, CI가 없는 계정은 평균 4.6개 항목이 유출된 것으로 나타났습니다. 공식 보도 내용은 아래 버튼을 눌러 확인해 보세요. 티빙 계정 유출 조사 결과 기사 보기

공격 경로, 접속키 하나에서 시작됐다

이번 사고의 핵심은 개발환경 접속키 하나가 탈취된 데서 시작됐다는 점입니다. 공격자는 5월 29일 티빙 개발환경에 침투해 개발 프로젝트 361건을 빼냈습니다. 이 프로젝트에는 운영환경 접속키 43개가 소스코드에 그대로 포함되어 있었습니다. 공격자는 이 키를 이용해 운영환경에 들어간 뒤, 이용자 정보가 담긴 데이터베이스 접속정보를 확보했습니다. 이 접속정보는 암호화되지 않고 평문으로 저장되어 있었습니다.

5월 30일 1차 유출 시도 때는 DB 서버 CPU 이용률이 100퍼센트까지 올라가 티빙이 작업을 차단했습니다. 하지만 이튿날 공격자는 별도 접속키로 가상서버를 만든 뒤 이용자 정보 24GB를 외부 서버로 빼돌렸습니다. CPU 이용률을 10퍼센트 이내로 유지하며 이상징후 탐지를 피한 점도 조사에서 확인됐습니다.

보안 관리 부실이 만든 결과

조사단이 꼽은 가장 큰 원인은 접속키 관리 부실입니다. 티빙은 개발과 운영 환경에 접근할 수 있는 접속키를 소스코드 내부에 그대로 노출하거나 암호화 없이 저장했고, 별도 관리체계도 마련하지 않았습니다. 2024년 모의해킹에서 접속키 하드코딩 취약점이 발견됐는데도 개선하지 않은 것으로 나타났습니다. 또한 모든 개발자에게 전체 프로젝트 접근 권한을 부여해 접속키 하나만 탈취되면 모든 개발 프로젝트에 접근할 수 있었습니다.

2차 피해 우려와 정부 대응

정부는 유출된 휴대전화 번호와 이메일 주소가 스미싱이나 보이스피싱, 다크웹을 통한 불법거래에 악용될 가능성이 있다고 판단하고 있습니다. 아직까지 확인된 이용자 피해 사례나 불법거래와 유통 정황은 없지만, 장기적인 모니터링이 필요합니다. 티빙은 6월 3일부터 피해전담 상담 콜센터를 운영하고 있으며, 정부도 다크웹과 SNS, 해킹포럼 등을 실시간으로 살피고 있습니다.

티빙 계정 유출 후 이용자가 해야 할 일

티빙 계정 유출 소식에 불안한 이용자라면 먼저 비밀번호를 변경하는 것이 좋습니다. 티빙뿐 아니라 같은 아이디와 비밀번호를 사용하는 다른 사이트도 함께 변경해야 합니다. 이번에 유출된 정보에는 이메일 주소와 휴대전화 번호가 포함되어 있어, 이를 악용한 피싱 문자가 올 수 있습니다. 출처가 분명하지 않은 문자에 포함된 링크는 누르지 말고, 택배나 금융 기관을 사칭하는 문자를 특히 조심해야 합니다.

계정 보안을 높이려면 2단계 인증을 설정하는 것이 좋습니다. 또 개인정보보호위원회의 추가 분석 결과와 티빙 공지사항을 주기적으로 확인해 본인 계정이 피해 목록에 포함되었는지 살펴봐야 합니다. 당장 피해가 확인되지 않아도 계정 정보가 해킹포럼 등에 유통되는 상황을 계속 주시할 필요가 있습니다.

마무리

이번 티빙 계정 유출 사건은 하나의 접속키가 제대로 관리되지 않아 대규모 개인정보 유출로 이어진 대표적인 사례입니다. 이용자 입장에서는 비밀번호 변경과 2단계 인증, 피싱 문자 주의 같은 기본 대응이 무엇보다 중요합니다. 기업 입장에서는 접속키를 소스코드에 보관하지 않고 암호화해 관리하며, 정보보호 인력을 충분히 두고, 이상 접근을 실시간으로 탐지하는 체계를 갖춰야 합니다. 앞으로 OTT 서비스가 더욱 보편화될수록 보안은 선택이 아니라 필수입니다. 이번 사고를 계기로 기업과 이용자 모두 개인정보 보호의 중요성을 다시 한번 확인하는 시간이 되길 바랍니다.

자주 묻는 질문

Q 티빙 계정 유출 피해자인지 어떻게 확인할 수 있나요

티빙 공식 안내와 개인정보보호위원회 분석 결과를 확인해야 합니다. 현재 조사에서는 중복 계정이 포함되어 있어 정확한 피해 규모가 확정되지 않았습니다.

Q 비밀번호가 암호화되었는데도 변경해야 하나요

비밀번호는 단방향 암호화되어 평문으로 복호화할 수 없지만, 같은 아이디와 비밀번호를 다른 사이트에서 쓰고 있다면 반드시 변경해야 합니다.

Q 스미싱이나 보이스피싱 피해를 예방하려면 어떻게 해야 하나요

출처가 분명하지 않은 문자나 이메일의 링크를 누르지 말고, 택배 사칭 문자나 금융 기관 사칭 전화에 응하지 않는 것이 좋습니다.