[속보] 티빙 개인정보 3,954만 계정 유출 확정… 1,324만 명 피해, 2차 피해 주의보

OTT 플랫폼 티빙의 대규모 개인정보 유출 사고의 민관합동 조사 결과가 9월 3일 공개되었다. 총 3,954만 개의 계정 정보가 유출된 것으로 확인되었으며, 유출된 정보는 아이디, 성명, 휴대전화번호, 이메일 주소, 생년월일, 성별, 결제 이력 등 20개 항목 70종에 달한다.

유출 규모와 내용

유출된 계정은 활성 계정 2,206만 개, 휴면·탈퇴 등 비활성 계정 1,737만 개, 테스트 계정 11만 개로 구성되었다. CI가 부여된 1,904만 개 계정 기준으로 중복을 제외한 실제 고유 이용자는 약 1,324만 명으로 집계되었다.

다행히 비밀번호와 환불 계좌번호는 일방향 암호화가 적용되어 복호화가 어려운 상태였다. 그러나 휴대전화번호와 이메일 주소는 암호화되어 있었음에도 암호화 키가 함께 유출되어 사실상 평문 유출과 다름없는 수준으로 파악되었다.

또한 이용자 맞춤형 콘텐츠 추천 알고리즘, 인증체계, 결제 관리 등 티빙의 핵심 기술 자산이 담긴 개발 프로젝트 361건(30.35GB 규모)도 함께 유출된 것으로 드러났다.

사고 원인: 총체적 보안 관리 부실

조사단은 공격자가 개발자의 개발환경 접속키를 탈취한 뒤 내부 시스템에 침투했고, 소스코드 안에 암호화되지 않은 채 노출되어 있던 운영환경 접속키를 확보해 이용자 데이터베이스에 접근한 것으로 분석했다.

티빙은 2024년 모의 해킹에서 접속키 노출 취약점을 이미 발견했음에도 개선하지 않았던 것으로 확인되었다. 키 관리 체계 미비, 모니터링 부재, 정보보호 전담 인력 부족 등도 지적되었다. 사고 인지 후 24시간 이내 신고 의무도 약 29시간 늦게 이행해 과기정통부로부터 최대 3,000만 원의 과태료를 부과받을 예정이다.

티빙의 사과와 보상 방안

티빙은 공식 사과와 함께 향후 5년간 정보보호 투자를 4배로 확대하고 보안 체계를 전면 재구축하겠다고 밝혔다. 피해 고객에게는 최대 300만 원을 보상하는 해킹·피싱 안심 보험과 티빙 포인트, 웨이브 이용권 또는 CGV 할인권 중 하나를 지급하는 보상 패키지를 제공한다.

앞으로의 전망

전문가들은 스미싱, 보이스피싱, 다크웹 불법 거래 등 2차 피해 가능성이 높다고 경고하고 있다. 유출된 개인정보를 악용한 피싱 문자나 전화가 급증할 수 있어, 이용자들은 발신 불명의 문자·전화에 각별히 주의하고 비밀번호 변경과 2단계 인증 설정을 서둘러야 한다. 개인정보 유출에 대한 최종 과징금은 개인정보보호위원회가 별도로 결정할 방침이며, 이번 사건은 국내 IT 업계 전반의 보안 관리 수준을 점검하는 계기가 될 것으로 보인다.

자주 묻는 질문 (Q&A)