지난 5월 30일 국내 온라인동영상서비스(OTT) 티빙 해킹으로 현재까지 약 1,953만 명의 개인정보가 유출된 것으로 파악됐습니다. 쿠팡과 싸이월드·네이트, SK텔레콤에 이어 국내 역대 네 번째로 큰 개인정보 유출 사고입니다. 초기 집계보다 피해 규모가 크게 늘면서 내 정보도 유출된 것은 아닌지 확인하려는 이용자도 늘고 있습니다.
티빙 개인정보 유출 사고의 핵심 쟁점은 클라우드 인프라에 접근하는 계정과 자격증명 관리 문제입니다. 이 글에서는 티빙 해킹 사건의 전말과 현재까지 알려진 원인, 개인정보 유출 여부를 확인하고 대응하는 방법을 정리해 보겠습니다.
티빙 개인정보 유출 1953만 명, 역대 네 번째 규모
티빙 해킹은 지난 5월 30일 데이터베이스(DB) 서버에서 이상 징후가 발생하면서 확인됐습니다. 티빙은 비인가 접근과 개인정보 파일의 외부 전송 정황을 파악한 뒤 한국인터넷진흥원(KISA)과 개인정보보호위원회에 사고를 신고했습니다.
초기 정부 잠정치는 약 1,300만 명이었지만 현재는 약 1,953만 명으로 늘었고, 조사가 진행 중이라 최종 규모는 더 커질 수 있습니다. 특히 티빙 유료 회원 수인 약 500만 명보다 유출 규모가 훨씬 크다는 점이 논란입니다. 탈퇴·휴면 계정이나 통신사·제휴 서비스를 통해 수집된 정보까지 포함됐을 가능성이 제기되면서 개인정보 보관과 파기 기준도 조사 대상이 되고 있습니다.
- 유출 규모: 현재까지 약 1,953만 명
- 유출 정보: 아이디, 이름, 생년월일, 성별, 휴대전화번호, 이메일, 비밀번호, 환불 계좌번호, 연계정보(CI), 중복가입확인정보(DI) 등
- 유출 정황: 비인가자가 회원 정보 DB에 접근해 개인정보 파일을 외부로 전송
- 현재 상황: 과학기술정보통신부·KISA 민관합동조사단과 개인정보위 조사 진행
- 주요 쟁점: 실제 이용자보다 많은 유출 규모, 탈퇴·휴면·제휴 계정의 개인정보 보관 여부
주요 타임라인 (최근 순)
- 티빙 개인정보 유출 1953만명…정부 추산보다 650만명↑
- ‘티빙 해킹’ 1953만명 털렸다…유료 회원 수와 차이 나는 이유는
- 티빙 해킹, 단순 정보유출 넘어 클라우드 계정 관리 논란으로 확산
- [단독] 티빙 해킹범 DB 침입 확인…“단순 개인정보 유출 아냐”
- 티빙, 개인정보 유출…연계정보 등 민감 정보도 포함
- 티빙 개인정보 유출…과기부, 침해사고 조사 착수
- 티빙, 이름·생년월일·전번 털렸다…”고객 심려 끼쳐 사과”
티빙 해킹 원인은? 클라우드 계정 관리 논란
이번 사고에서 가장 주목받는 부분은 해커가 어떻게 티빙 데이터베이스(DB)에 직접 접근했느냐입니다. 아직 정부의 최종 조사 결과가 나오지 않았기 때문에, 아래 내용은 언론 보도와 국회에 제출된 자료를 통해 현재 원인으로 지목되고 있는 정황입니다.
깃허브에 노출된 자격증명과 AWS 액세스 키
여러 보도에 따르면 공격자는 티빙 내부 DB에 접속해 조회·수정 쿼리를 실행하고 개인정보 파일을 반출한 것으로 추정됩니다. 이 과정에서 깃허브(GitHub) 저장소와 소스코드에 남아 있던 자격증명, 아마존웹서비스(AWS) 액세스 키 관리 문제가 주요 원인으로 지목됐습니다.
- 소스코드에 인증 정보가 직접 입력된 정황
- 노출된 AWS 액세스 키를 통해 클라우드 자원에 접근했을 가능성
- DB에 직접 접속해 쿼리를 실행하고 파일을 반출한 정황
이번 사고의 쟁점은 AWS나 클라우드 자체가 뚫렸다는 데 있지 않습니다. 클라우드 인프라에 접근하는 계정과 자격증명을 안전하게 보관하고, 필요한 범위로 권한을 제한했는지가 핵심입니다. 클라우드에 들어가는 ‘열쇠’를 어떻게 관리했느냐의 문제인 셈입니다.
서버 장애가 발생한 뒤에야 확인된 이상 징후
티빙은 DB 서버의 CPU 사용률이 100%까지 치솟아 장애 알람이 울린 뒤 비인가 접근 정황을 확인한 것으로 알려졌습니다. 대량 정보 조회나 비정상적인 계정 접근을 미리 감지하지 못하고, 서버 부하가 발생한 뒤에야 문제를 파악했다는 지적이 나오는 이유입니다.
줄어든 보안 투자도 도마 위에
티빙의 정보보호 투자액은 2022년 약 21억9,700만 원에서 2024년 약 17억6,500만 원으로 감소했습니다. 최고정보보호책임자(CISO)와 개인정보보호책임자(CPO)를 비임원급 인사가 겸직한 운영 방식도 함께 지적됐습니다. 이를 해킹의 직접적인 원인이라고 단정할 수는 없지만, 대규모 개인정보를 관리하는 기업의 보안 투자와 관리 체계를 다시 돌아보게 하는 대목입니다.
티빙 해킹 확인 방법과 기업이 점검해야 할 보안 기준
티빙 이용자라면 먼저 내 개인정보가 유출됐는지 확인하고, 비밀번호 변경과 스미싱 예방 등 2차 피해에 대비해야 합니다. 고객 정보를 관리하는 기업도 이번 사고를 계기로 계정과 접근 권한 관리 체계를 점검할 필요가 있습니다.
내 티빙 개인정보 유출 여부 확인하는 방법
- 티빙 앱이나 홈페이지의 ‘개인정보 유출 내역 조회’ 페이지에 접속합니다.
- 티빙 계정으로 로그인하거나 본인인증을 진행합니다.
- 개인정보 유출 여부와 실제 유출된 항목을 확인합니다.
- 여러 계정을 사용했다면 계정별로 다시 조회합니다.
유출이 확인됐다면 티빙과 같은 비밀번호를 사용하는 다른 서비스의 비밀번호도 함께 변경해야 합니다. 환불이나 보상을 안내한다며 개인정보 입력을 요구하는 문자·이메일은 클릭하지 말고, 계좌번호가 유출된 경우에는 이상 거래 내역도 확인하는 것이 좋습니다.
고객 정보를 다루는 기업의 보안 체크리스트
이번 사고에서 문제가 된 자격증명과 접근 권한 관리는 고객 정보를 다루는 모든 조직이 점검해야 할 항목입니다.
| 점검 항목 | 확인할 내용 |
|---|---|
| 자격증명 관리 | 소스코드나 공유 문서에 API 키·비밀번호가 남아 있지 않은가 |
| 접근 권한 | 계정과 액세스 키에 필요한 범위 이상의 권한이 부여돼 있지 않은가 |
| 접근 기록 | 누가 언제 어떤 데이터와 파일에 접근했는지 확인할 수 있는가 |
| 이상 탐지 | 대량 조회·다운로드·외부 전송이 발생했을 때 바로 확인할 수 있는가 |
| 정보 파기 | 탈퇴·휴면·계약 종료 고객 정보를 필요 이상 보관하고 있지 않은가 |
| 사고 대응 | 계정 차단, 신고, 이용자 통지 절차가 마련돼 있는가 |
고객 명단, 계약서, 신청서처럼 개인정보가 포함된 업무 파일도 같은 기준으로 관리해야 합니다. 클라우다이크에서는 사용자·부서별 접근 권한을 설정하고 파일 열람·수정·공유 기록을 확인할 수 있으며, 외부 공유 시에는 비밀번호와 만료일, 다운로드 횟수를 제한할 수 있습니다. 개인정보가 여러 PC와 메신저에 흩어져 있다면 파일 보관과 공유 방식부터 점검해 보세요.
개인정보 보안은 ‘접근 권한 관리’에서 시작됩니다
티빙 해킹은 안정적인 클라우드 인프라를 사용하더라도 계정과 자격증명, 접근 권한을 제대로 관리하지 않으면 대규모 개인정보 유출로 이어질 수 있다는 점을 보여줬습니다. 고객 정보가 포함된 업무 파일을 개인 PC나 메신저, 이메일로 주고받고 있다면 누가 접근하고 공유했는지 확인할 수 있는 관리 환경부터 마련해야 합니다.
클라우다이크로 업무 파일의 접근 권한과 공유 이력을 안전하게 관리해 보세요. 지금 무료체험으로 직접 확인할 수 있습니다.
자주 묻는 질문
Q. CI와 DI는 어떻게 다른가요?
연계정보(CI)는 여러 서비스에서 같은 사람을 식별할 때 사용하는 값이고, 중복가입확인정보(DI)는 특정 서비스 안에서 중복 가입 여부를 확인하는 데 사용됩니다. 두 정보 모두 비밀번호처럼 이용자가 직접 변경하기 어렵다는 특징이 있습니다.
Q. CI와 DI가 유출되면 바로 명의도용이 가능한가요?
CI와 DI만으로 계정에 로그인하거나 금융 거래를 할 수 있는 것은 아닙니다. 다만 이름, 생년월일, 휴대전화번호 등 다른 개인정보와 결합되면 정교한 스미싱이나 본인 사칭에 악용될 위험이 커질 수 있습니다.
Q. 티빙을 탈퇴했거나 오래 사용하지 않았어도 확인해야 하나요?
이번 유출 규모가 현재 유료 회원과 월간 이용자 수를 크게 웃도는 만큼, 과거 가입자나 휴면 계정도 유출 여부를 확인해 보는 것이 좋습니다. 여러 이메일이나 제휴 계정으로 가입했다면 계정별로 조회해야 합니다.
Q. 비밀번호나 계좌번호가 암호화돼 있었다면 안전한가요?
암호화된 정보는 원문 그대로 유출된 정보보다 악용하기 어렵지만, 위험이 완전히 사라지는 것은 아닙니다. 같은 비밀번호를 다른 서비스에서도 사용했다면 모두 변경하고, 계좌의 이상 거래 내역도 당분간 살펴보는 것이 좋습니다.
