작성자 고영미 기자    조회Hit 86   작성일2026-09-03 22:37:00

 

온라인동영상서비스(OTT) 티빙에서 이용자 계정 약 3천954만 개와 핵심 기술자산이 대규모로 유출된 사실이 정부 조사에서 확인됐다. 특히 개발환경에서 사용하던 접속키가 외부로 빠져나간 뒤 운영환경까지 침투가 이뤄진 것으로 조사되면서 보안 관리 체계의 허점이 드러났다.

과학기술정보통신부는 3일 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 조사 결과 유출된 계정은 로그인 가능한 활성 계정 2천206만 개, 휴면·탈퇴 계정 1천737만 개, 테스트 계정 11만 개 등 총 3천954만 개로 집계됐다.

동일 이용자가 여러 계정을 보유한 경우도 있어 실제 이용자 수와 계정 수가 일치하는 것은 아니다. 하지만 활성 계정뿐 아니라 휴면과 탈퇴, 테스트 계정까지 포함돼 티빙의 계정 정보 전반이 유출된 것으로 조사됐다.

지난해 KT 개인정보 유출 사고 이후 보상 쿠폰 등을 통해 티빙에 가입한 이용자 정보 약 52만7천 건도 별도로 유출된 것으로 확인됐다. 다만 이 정보는 전체 3천954만 계정 집계에는 포함되지 않았다.

가입 유형별로 보면 네이버·카카오·페이스북·애플·X 등 간편가입 계정이 약 2천247만 개로 가장 많았다. CJ ONE 통합회원 계정은 약 863만 개, 티빙 자체 가입 계정은 약 726만 개였다.

유출된 개인정보에는 아이디와 비밀번호뿐 아니라 이름, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 다양한 정보가 포함됐다.

비밀번호는 일방향 암호화가 적용돼 직접적인 복호화는 어려운 것으로 조사됐다. 그러나 휴대전화번호와 이메일 주소의 경우 암호화키까지 함께 유출되면서 사실상 원문 정보가 노출된 것과 비슷한 위험성이 있는 것으로 판단됐다.

CI가 포함된 계정에서는 평균적으로 더 많은 개인정보가 유출된 것으로 조사됐다. 구체적인 개인정보별 유출 규모와 항목은 개인정보보호위원회의 별도 조사 및 판단을 통해 최종 확정될 예정이다.

기술자산 피해도 상당했다. 공격자는 소스코드가 포함된 개발 프로젝트 361건을 빼돌렸으며, 유출된 데이터 규모는 약 30.35GB에 달했다.

유출된 프로젝트에는 티빙의 콘텐츠 추천과 검색 기능, 이용자 관리 및 인증 시스템, 결제 관리, 유료 서비스 운영 등에 활용되는 핵심 기술이 포함된 것으로 조사됐다.

공격 과정에서는 개발자들이 사용하는 개발환경 접속키가 먼저 탈취된 것으로 파악됐다. 공격자는 5월 말 이 접속키를 이용해 개발환경에 접근한 뒤 내부 프로젝트를 외부로 가져갔다.

더 큰 문제는 개발환경의 소스코드에 운영환경으로 접근할 수 있는 접속키가 저장돼 있었다는 점이다. 공격자는 소스코드에 포함된 43개의 운영환경 접속키를 추가로 확보해 아마존웹서비스(AWS) 기반 운영환경까지 침투한 것으로 조사됐다.

공격자는 5월 30일 이용자 정보를 빼내려 했지만 데이터베이스 서버에 과부하가 발생하면서 이상 징후가 탐지됐다. 티빙이 차단 조치를 취했지만 다음날 다시 가상서버를 만들어 이용자 정보 약 24GB를 한꺼번에 저장한 뒤 외부 서버로 전송한 것으로 확인됐다.

이후 공격자는 사용한 가상서버를 삭제하는 방식으로 흔적을 지우려 한 것으로 조사됐다.

정부 조사단은 공격자의 최초 침투 경로를 확인하기 위해 개발자 단말기에 대한 포렌식 분석도 진행했지만 공격자의 정확한 신원까지 특정하지는 못했다. 다만 유출된 데이터가 해외 계정으로 전송된 사실은 확인됐으며, 구체적인 공격자와 서버 위치 등은 경찰 수사를 통해 밝혀질 전망이다.

이번 사고에서는 단순한 해킹뿐 아니라 기업 내부의 보안 관리 문제도 확인됐다.

티빙은 운영환경 접속키를 별도의 안전한 저장소에서 관리하지 않고 소스코드에 직접 입력하는 방식으로 관리한 것으로 조사됐다. 개발환경 설정값 역시 별도 보호조치 없이 평문으로 저장된 사례가 확인됐다.

이용자 데이터베이스에 접근하기 위한 아이디와 비밀번호 역시 암호화되지 않은 상태로 관리되고 있었다.

정보보호 인력도 충분하지 않았던 것으로 나타났다. 전체 임직원이 265명, 개발인력이 149명인 가운데 외부 인력을 제외한 정보보호 전담인력은 약 4명 수준에 그쳤다.

더욱이 2024년 진행한 모의해킹에서 소스코드 내 중요정보가 노출되는 취약점이 발견됐지만 제대로 개선되지 않은 것으로 조사됐다. 시스템 로그 역시 모든 접속 기록을 충분히 보관하지 않아 사고 당시 공격 경로를 추적하는 데 한계가 있었다.

티빙은 정보보호 관리체계(ISMS) 인증을 보유하고 있었지만 이번 사고로 인증제도의 실효성을 둘러싼 논란도 커질 전망이다. 정부는 앞으로 인증 기준을 강화하고 실제 현장 중심의 점검을 확대하는 방안을 추진하기로 했다.

사고 신고 과정에서도 문제가 확인됐다. 티빙은 침해사고를 인지한 뒤 법정 신고기한인 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고했다.

정부는 이에 따라 관련 법률에 근거해 최대 3천만원의 과태료를 부과할 예정이다.

정부는 티빙에 접속키 관리와 접근권한 통제를 강화하고, 대량 데이터 조회와 비정상 행위를 실시간으로 탐지하는 시스템을 마련하라고 요구했다. 정보보호 인력과 예산을 확대하고 로그 관리와 정기적인 취약점 점검도 강화하도록 했다.

티빙은 이달까지 재발 방지 계획을 정부에 제출하고, 정부는 내년 1월부터 이행 여부를 점검할 예정이다.

티빙 측도 사고 수습과 보안 강화에 나섰다. 최주희 대표는 공식 사과와 함께 정보보호 분야에 대한 대규모 투자를 약속했다.

티빙은 2030년까지 정보보호 투자 규모를 이전 5년과 비교해 약 4배 확대하고, 보안 전문인력 역시 현재보다 약 3배 늘릴 계획이다. 내부 보안인력을 우선 연말까지 10명 수준으로 확대하고 장기적으로 25~30명 규모로 확보한다는 방침이다.

또한 접근 권한을 최소화하는 제로 트러스트 보안체계를 도입하고 인공지능(AI)을 활용한 이상 징후 탐지와 실시간 대응 시스템도 강화하기로 했다.

고객 피해에 대한 보상책도 마련했다. 티빙은 해킹이나 피싱 등 사이버 금융사기로 인한 피해를 보장하는 보험을 1년간 제공하고, 프리미엄 수준의 서비스 업그레이드와 포인트, 다른 엔터테인먼트 서비스 이용권 등을 포함한 보상안을 제시했다.

이번 사고는 국내 OTT 산업을 넘어 개인정보를 대규모로 보유한 플랫폼 기업 전반에 상당한 경고가 될 전망이다.

특히 이번 사건에서는 개인정보뿐 아니라 추천 알고리즘과 인증·결제 시스템 등 기업의 핵심 소스코드까지 함께 유출됐다는 점에서 단순한 개인정보 사고보다 피해 범위가 넓다. 기업의 기술 경쟁력과 서비스 운영 노하우가 외부로 넘어갈 경우 장기적인 경쟁력에도 영향을 줄 수 있다.

향후 기업들의 정보보호 투자 확대도 불가피할 것으로 보인다. 개발자 편의를 위해 소스코드에 접속키나 비밀번호를 저장하는 관행, 부족한 보안인력, 미흡한 로그 관리 등이 대규모 침해사고로 이어질 수 있다는 사실이 확인됐기 때문이다.

특히 개정 개인정보보호법과 정보통신망법이 잇따라 시행되면서 대규모 개인정보 유출에 대한 기업의 책임과 제재 수준도 한층 강화될 전망이다.

기업 입장에서는 보안 투자가 단순한 비용이 아니라 핵심 경영 인프라라는 인식이 더욱 중요해질 것으로 보인다. AI를 활용한 공격이 고도화되는 만큼 기존의 사후 대응 중심 보안에서 벗어나 실시간 탐지와 자동 대응 체계를 구축해야 한다는 요구도 커질 전망이다.

소비자 입장에서도 이번 사고는 여러 플랫폼에서 동일한 비밀번호를 사용하는 습관의 위험성을 다시 보여준다. 대규모 계정 정보가 유출되면 다른 서비스에 대한 2차 계정 탈취나 피싱 공격으로 이어질 가능성이 있기 때문이다.

결국 이번 티빙 사고의 핵심은 단순히 수천만 개의 계정이 유출됐다는 데 그치지 않는다. 개발환경의 작은 보안 관리 부실이 운영환경 침투와 대규모 개인정보 및 핵심 기술 유출로 이어질 수 있다는 점에서 국내 플랫폼 기업 전체가 보안 체계를 재점검하는 계기가 될 것으로 전망된다.

 

#티빙
#개인정보유출
#티빙해킹
#티빙개인정보유출
#사이버보안
#해킹
#개인정보보호
#소스코드유출
#OTT
#온라인동영상서비스
#과기정통부
#정보보호
#ISMS
#제로트러스트
#AI보안
#사이버공격
#보안투자
#플랫폼기업
#한국경제
#경제뉴스

#월드시사경제 

추천0 비추천0

• 페이스북 공유
• 트위터 공유