티빙 3954만 유출 소식이 공식적으로 확인됐습니다. 정부는 지난 5월 발생한 티빙 개인정보 유출 사고에 대한 민관합동조사 결과를 발표하면서 티빙이 보유한 모든 계정이 해커에게 빠져나갔다고 밝혔습니다. 로그인이 가능한 활성화 계정뿐 아니라 오랫동안 쓰지 않은 휴면 계정, 이미 탈퇴한 계정, 내부 테스트 계정까지 포함된 규모라서 충격이 큽니다. 이번 사고의 핵심을 표로 정리했습니다.
| 계정 구분 | 유출 규모 |
|---|---|
| 활성화 계정 | 2206만 개 |
| 휴면 계정 | 850만 개 |
| 탈퇴 계정 | 887만 개 |
| 테스트 계정 | 11만 개 |
| 합계 | 3954만 개 |
표에서 보듯 유출 계정은 총 3954만 개입니다. 여기에는 중복 계정이 포함되어 있어 실제 피해자 수는 이보다 적을 수 있습니다. 조사 결과 CI를 보유한 계정 1904만 개에서는 중복 580만 개를 확인했고, 이를 제외하면 1324만 개로 줄어듭니다. 다만 CI가 없는 2040만 개 계정은 중복 여부를 확인할 방법이 없어서 정확한 인원수는 개인정보보호위원회의 추가 조사에서 가려질 예정입니다. 같은 사람이 최대 13개 계정을 만든 사례도 있었다고 하니, 계정 정리가 얼마나 어려운 일인지 짐작할 수 있습니다. 티빙 자체 가입 계정은 726만 개, CJ ONE 통합회원은 863만 개, SNS 간편가입은 2247만 개로 집계됐습니다. 가입 경로에 따라 유출된 개인정보 범위도 달랐습니다. CI를 보유한 계정은 평균 11.1개 항목이 유출됐고, CI가 없는 계정은 평균 4.6개 항목이 유출된 것으로 나타났습니다.
목차
티빙 3954만 유출로 빠져나간 개인정보
유출된 개인정보는 ID, 성명, 비밀번호, 휴대전화 번호, 이메일 주소, 생년월일, CI 등 20개 항목 70종입니다. 휴대전화 번호와 이메일 주소 일부는 암호화되어 있었지만 암호화키까지 함께 유출되어 복호화가 가능했습니다. 이 말은 해커가 실제로 개인정보를 열람할 수 있는 상태였다는 뜻입니다. 특히 CI는 다른 정보와 결합하면 개인을 특정할 수 있기 때문에 스미싱이나 피싱에 악용될 가능성이 있습니다. 정부가 발표한 조사 결과 전문은 에서 확인할 수 있습니다.
SNS 간편가입 계정도 포함됐나
네이버, 카카오, 페이스북, 애플, X 등 SNS 간편가입 계정이 2247만 개나 포함되었습니다. 다만 조사단은 SNS 본사 계정이나 서버가 뚫린 것은 아니라고 판단했습니다. 티빙 가입 과정에서 SNS에서 넘어온 이름과 이메일, 일부 출생연도와 성별만 유출된 것입니다. CJ ONE 통합회원 계정 863만 개도 유출 대상에 포함되었습니다. 외부 SNS 계정 자체의 피해 가능성은 에서 자세히 다룹니다.
공격자는 어떻게 뚫었나
조사단이 밝힌 공격 경로를 따라가 보면 충격적입니다. 공격자는 먼저 개발환경 접속키 하나를 탈취해 5월 29일 개발환경에 들어갔습니다. 이후 개발 프로젝트 361건을 빼내면서 그 안에 포함된 운영환경 접속키 43개를 확보했습니다. 그중 2개를 이용해 운영환경에 접속했고, DB 접속 정보까지 탈취했습니다. 5월 30일 첫 유출 시도에서 DB 서버 CPU 이용률이 100%까지 치솟아 이상징후가 감지됐지만, 이튿날 공격자는 CPU 이용률을 10% 이내로 낮춘 별도 가상서버를 만들어 이용자 정보 24GB를 외부로 빼돌렸습니다.
기술 자산까지 빠져나갔다
개발 프로젝트 361건은 30.35GB 규모였습니다. 이 안에는 이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 관리와 인증체계, 결제 관리, 유료 서비스 운영 등이 포함되어 있었습니다. 개인정보만 빠져나간 것이 아니라 티빙의 핵심 기술 자산도 함께 외부로 유출된 것입니다. KT 보상권 수령 가입자 중 개인정보가 유출된 숫자도 52만7000건으로 확인됐습니다.
보안 관리 부실이 키운 피해
티빙은 2024년 모의해킹에서 접속키를 소스코드에 하드코딩한 취약점을 발견했지만 개선하지 않았습니다. 모든 개발자에게 전체 프로젝트 접근 권한을 준 것도 문제였습니다. 접속키 하나가 탈취되면 모든 개발 프로젝트에 접근할 수 있는 구조였습니다. 임직원 265명, 개발인력 149명 규모인데 정보보호 전담인력은 4명 내외에 불과했습니다. 이상징후가 발생한 뒤 정보보호 조직과 최고책임자에게 상황이 공유되기까지 약 14시간이 걸렸습니다.
ISMS 인증의 허점
이번 사고는 ISMS 인증을 받은 기업에서 기본적인 접속키 관리가 지켜지지 않았다는 점에서 인증 제도의 실효성 문제도 드러냈습니다. 정부는 인증 이후 중대한 보안 문제가 확인돼도 인증을 취소할 제도가 없다는 점을 인정하고, 현장 확인 방식으로 인증 체계를 바꾸겠다고 밝혔습니다. 표면적인 서류 심사가 아니라 실제 보안 조치가 작동하는지 점검하겠다는 것입니다.
이용자가 지금 할 수 있는 대응
티빙 3954만 유출 사고는 단순히 한 기업의 문제로 끝나면 안 됩니다. 개인정보를 보관하는 모든 서비스가 접속키 관리, 암호화 저장, 권한 통제를 제대로 하고 있는지 다시 봐야 합니다. 이용자 입장에서는 지금이라도 티빙 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 사이트가 있다면 함께 변경하는 것이 안전합니다. 탈퇴했거나 오래된 계정이 있다면 정리하는 것도 좋은 방법입니다. 주변에서도 티빙 계정을 공유해 쓰는 경우가 많은데, 이번 사고 소식을 듣고 바로 비밀번호를 바꾸는 사람들이 있었습니다. 앞으로 스미싱이나 피싱 문자에 특히 주의해야 합니다.
지금 바로 할 수 있는 대응 방법을 정리했습니다.
- 티빙 계정 비밀번호를 다른 사이트와 다르게 변경합니다.
- 같은 아이디와 비밀번호를 쓰는 다른 OTT나 커머스 계정도 함께 변경합니다.
- 출처가 불분명한 문자나 이메일 속 주소는 클릭하지 않습니다.
- 개인정보 유출 여부를 확인할 수 있는 공식 서비스를 활용합니다.
정리하며
이번 티빙 3954만 유출 사건은 개발자 접속키 하나가 모든 것을 무너뜨릴 수 있다는 사실을 보여줬습니다. 기술 자산 361건과 이용자 정보 24GB가 빠져나갔고, 암호화된 정보도 복호화할 수 있는 상태였습니다. 이제 남은 일은 정확한 피해자 수를 산정하고, 추가 피해를 막는 일입니다. 정부는 개인정보보호위원회 조사와 경찰 수사를 통해 실제 피해 규모를 가리겠다고 밝혔습니다. 이번 사고를 계기로 접속키 관리와 인증 제도가 실제 현장에서 제대로 작동하는지 확인하는 문화가 자리 잡길 바랍니다. 이용자도 내 계정이 어디에 어떻게 연결되어 있는지 점검하는 습관이 필요합니다.
자주 묻는 질문
티빙 3954만 유출이면 내 계정도 유출됐나요
Q: 티빙 계정을 오래전에 만들었는데 이번 유출 대상에 포함될 수 있나요? A: 탈퇴 계정과 휴면 계정까지 모두 포함됐기 때문에 오래된 계정도 대상일 수 있습니다. 다만 중복 계정이 많아 정확한 피해자 수는 추가 조사 후 안내됩니다.
비밀번호를 바꿔야 하나요
Q: 비밀번호를 꼭 바꿔야 하나요? A: 같은 비밀번호를 다른 사이트에서 쓴다면 반드시 바꾸는 것이 좋습니다. 티빙 외 다른 서비스도 함께 변경하세요.
SNS 계정도 위험한가요
Q: 네이버나 카카오 계정도 위험한가요? A: SNS 본사 계정이 뚫린 것은 아니지만 티빙으로 전달된 이름과 이메일 등이 유출됐으므로 피싱 문자와 이메일에 주의해야 합니다.
