티빙 개인정보 유출 사고 원인과 CI 노출 대처 가이드

 

티빙 3954만 계정 유출 원인 분석 및 이용자 보호 대처 가이드

티빙해킹

국내 대표 온라인 동영상 서비스(OTT) 플랫폼인 티빙(TVING)에서 대규모 사이버 침해사고가 발생하여 전 국민적인 충격을 안겨주고 있습니다. 과학기술정보통신부와 민관합동조사단의 정밀 조사 결과, 당초 알려졌던 추산치를 크게 웃도는 3,954만 개 계정의 정보가 유출된 것으로 최종 확인되었습니다. 이번 침해사고는 단순한 이용자 식별값 노출에 그치지 않고 핵심 기술 프로젝트 소스코드와 고유 식별 장치인 연계정보(CI)까지 대거 포함되어 있어 장기적인 보안 위협을 경고하고 있습니다.

디지털 서비스 이용 빈도가 극대화된 환경에서 발생한 이번 사건은 개별 플랫폼의 인프라 관리 미흡이 이용자 전체의 보안 생태계에 얼마나 막대한 파장을 미치는지 적나라하게 보여줍니다. 본 분석 리포트에서는 정부 합동 조사 결과를 바탕으로 사고의 실제 규모, 5단계 침투 경로와 구조적 보안 결함, 이용자에게 직결되는 실제 위험 요인, 그리고 개인이 즉각 취해야 할 실질적인 보호 조치를 포괄적으로 정리합니다.

 

티빙 침해사고 개요와 피해 규모

과학기술정보통신부 조사 발표에 따르면, 공격자는 티빙의 내부 시스템에 무단 침입하여 총 3,954만 건에 달하는 계정 레코드를 외부로 탈취했습니다. 이는 활성화 상태로 즉각 로그인이 가능한 계정 2,206만 개를 비롯하여 휴면 계정 850만 개, 이미 서비스에서 탈퇴한 회원 계정 887만 개, 그리고 개발 및 테스트 계정 11만 개가 모두 포함된 수치입니다. 탈퇴 회원 데이터까지 함께 유출된 사실은 플랫폼 운영사의 개인정보 파기 및 보관 정책 준수 여부에 대한 심각한 물음표를 던지고 있습니다.

계정 수치가 방대하게 집계된 배경에는 플랫폼 특유의 다중 로그인 체계가 자리 잡고 있습니다. 네이버, 카카오, 애플, 엑스(X) 등을 통한 소셜 간편 가입 계정이 2,247만 개로 가장 큰 비중을 차지했으며, CJ ONE 통합 회원 계정이 863만 개, 티빙 자체 가입 계정이 726만 개로 집계되었습니다. 동일 이용자가 여러 방식으로 연동 가입하여 한 사람이 최대 13개의 계정을 보유한 사례도 확인되었습니다. 따라서 실제 유출된 순수 개인 수는 3,954만 명보다 적으나, 주민등록번호 대체 고유 식별값인 연계정보(CI)가 부여된 계정 기준 중복 제거 실인원만 1,324만 명에 달합니다.

유출된 데이터 항목의 위험성

이번 침해를 통해 노출된 데이터는 총 20개 항목 70종에 이릅니다. 주요 유출 항목은 다음과 같습니다.

• 이용자 기본 식별 정보: 계정 아이디(ID), 성명, 생년월일, 성별, 닉네임
• 통신 및 연락 정보: 휴대전화 번호, 이메일 주소
• 인증 및 금융 관련 정보: 연계정보(CI), 중복가입확인정보(DI), 결제 내역
• 인프라 및 기술자산: 서비스 추천 알고리즘, 결제 모듈 등이 포함된 개발 프로젝트 361건(30.35GB)

보안상 가장 치명적인 지점 중 하나는 암호화 정책의 무력화입니다. 비밀번호의 경우 복호화가 불가능한 일방향 암호화가 적용되어 원문 노출을 방어했으나, 휴대전화 번호와 이메일 주소의 경우 암호화 처리가 되어 있었음에도 불구하고 이를 해제할 수 있는 암호화키가 소스코드와 함께 탈취되었습니다. 이는 결과적으로 공격자가 원문을 복원할 수 있는 환경이 조성되었음을 뜻하며, 사실상 평문 유출과 다름없는 상태로 분류됩니다.

 

침투 경로와 키 관리 부실 실태

민관합동조사단이 재구성한 공격 시나리오에 따르면, 외부 해커의 시스템 침투는 치밀한 제로데이 취약점 공격이 아닌 기초적인 인증 관리 허점에서 비롯되었습니다. 발단은 개발자의 개발환경 접속키 탈취였습니다. 개발 환경에 침입한 공격자는 내부 저장소에 보관된 개발 프로젝트 361건 전체를 내려받았으며, 이 프로젝트 내부 소스코드 안에 운영 시스템으로 바로 진입할 수 있는 실제 운영환경 접속키 43개가 별도 분리 없이 평문으로 박혀 있는 상태를 확인했습니다.

공격자는 이 중 2개의 유효한 운영 접속키를 악용하여 2차 방어선 없이 실제 운영망에 진입했습니다. 심지어 대규모 개인정보가 저장된 데이터베이스(DB)의 접근 계정과 비밀번호마저 암호화 없이 평문으로 저장되어 있어 공격자는 손쉽게 데이터에 접근할 수 있었습니다. 민감 키값을 별도 키 관리 시스템(KMS)에 격리하지 않고 코드 내에 박아두는 하드코딩 관행이 시스템 전반을 무방비 상태로 만든 셈입니다.

이상 징후 탐지와 모니터링 부재

공격자는 1차 유출 시도 당시 데이터베이스 서버의 CPU 사용률을 100%까지 급증시켜 시스템 알람을 유발했고 티빙 운영진에 의해 작업이 일시 차단되었습니다. 그러나 근본적인 침투 경로인 인증키가 즉각 파기 및 교체되지 않으면서 공격자는 바로 다음 날 CPU 점유율을 10% 안팎으로 낮추는 지능적인 우회 방식을 취했습니다. 이들은 내부 가상 서버(인스턴스)를 임의로 생성하여 24GB 분량의 이용자 데이터를 빼돌린 뒤 증거를 인멸하기 위해 해당 가상 서버를 삭제하는 치밀함을 보였습니다.

티빙 인프라에는 네트워크 트래픽 이상 흐름이나 대량 데이터 유출 징후를 실시간으로 탐지하고 자동 차단하는 정보보호 체계가 결여되어 있었습니다. 단순히 서버 부하율 모니터링에만 의존하던 구조 탓에 공격자가 시스템 내부에서 장시간 활보하는 것을 조기에 차단하지 못했습니다.

정보보호 거버넌스 및 대응 지연

기술적 취약점 이면에는 조직 내 정보보호 인력과 관리 거버넌스의 구조적 불균형이 자리하고 있었습니다. 티빙의 전체 임직원 265명 중 개발 인력은 149명에 달했던 반면, 전사 보안을 전담하는 내부 보안 인력은 외주 인력을 제외하면 단 4명 안팎에 불과했습니다. 급격한 가입자 증가와 기술 프로젝트 확장에 비해 보안 조직의 규모와 권한은 현저히 뒤처져 있던 실정입니다.

더욱 심각한 사실은 이번 사고의 직접 원인이 된 소스코드 내 접속키 노출(하드코딩) 결함이 2024년 자체 모의해킹 과정에서 이미 발견되었음에도 불구하고 적절한 후속 조치 없이 장기간 방치되었다는 점입니다. 식별된 취약점을 시스템적으로 보완하지 않고 운영 편의성을 우선시한 개발 문화가 대규모 보안 참사로 이어졌다는 비판을 피하기 어렵습니다.

 

법정 신고 기한 초과와 행정 제재

초동 대처 역시 규정을 충족하지 못했습니다. 이상 징후가 발생한 시점부터 정보보호최고책임자(CISO)에게 정식 보고가 전달되기까지 무려 14시간이 소요되었으며, 침해 정황을 보안팀이 인지한 시점(5월 31일 오전 10시 10분)으로부터 법정 기한인 24시간을 넘겨 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 공식 신고가 접수되었습니다.

이에 따라 과학기술정보통신부는 정보통신망법 위반을 적용하여 티빙에 과태료를 부과하기로 결정했습니다. 정부는 사업자 측에 엄정한 재발 방지 대책 제출을 요구하는 한편, 차후 기술 조치 이행 여부를 철저히 점검하겠다고 공표했습니다.

연계정보 유출과 잠재적 2차 피해

이번 사건에서 일반 이용자들에게 가장 실질적인 위협으로 다가오는 대목은 1,320만 건에 달하는 연계정보(CI, Connecting Information)의 노출입니다. 연계정보는 웹사이트나 금융 앱 등에서 주민등록번호를 직접 수집하지 못하도록 대체 수단으로 생성하는 88바이트 길이의 암호화된 고유 식별값입니다. 주민등록번호가 변하지 않는 한 개별 이용자의 CI 역시 모든 온라인 서비스에서 고정된 값을 가집니다.

CI는 온라인 본인확인기관을 통해 금융 거래, 통신사 가입, 공공기관 민원 인증, 성인 인증 등에서 개인을 최종 식별하는 핵심 열쇠로 작동합니다. 현재까지 다크웹이나 블랙마켓 등에서 유출 데이터의 불법 거래나 직접적인 이용자 금전 피해 정황은 포착되지 않았으나, CI와 이름, 전화번호, 생년월일이 결합된 데이터베이스는 악의적 집단에 의해 매우 정밀한 표적 공격에 악용될 수 있습니다.

예상되는 위협 유형

• 정밀 타깃형 보이스피싱: 개인의 실제 가입 서비스, 결제 정보, 생년월일을 숙지한 상태에서 공공기관이나 금융사를 사칭하는 고도화된 사기 범죄
• 통신사 명의도용 및 알뜰폰 개통: 탈취된 개인 식별값과 조합하여 비대면 본인인증을 우회 시도하는 명의도용 피해
• 크리덴셜 스터핑(Credential Stuffing): 동일한 아이디와 유사 패턴의 비밀번호를 사용하는 타 포털, 온라인 쇼핑몰, 금융 플랫폼 계정에 무차별 로그인을 시도하는 연쇄 계정 탈취

이용자를 위한 필수 보안 대처 수칙

사고 발생 이후 플랫폼 차원의 사후 수습과 별개로, 피해 범위에 포함되었거나 서비스에 가입한 이력이 있는 이용자는 자구책을 신속히 실행해야 합니다. 유출된 데이터의 악용을 원천 차단하고 추가적인 피해를 예방하기 위한 핵심 단계별 가이드는 다음과 같습니다.

1단계: 연동 로그인 해제 및 자격 증명 재설정

티빙 자체 계정 이용자는 물론, 네이버나 카카오 등 포털 연동을 통해 가입했던 이용자 역시 선제 조치를 취해야 합니다. 티빙에 등록된 비밀번호를 즉시 변경해야 하며, 무엇보다 티빙 계정과 동일하거나 유사한 비밀번호를 다른 주요 웹사이트(포털, 금융, 쇼핑몰)에서 사용하고 있다면 해당 사이트들의 비밀번호를 모두 상이하게 변경해야 합니다. 아울러 네이버나 카카오의 보안 설정 메뉴에 접속하여 외부 서비스 연결 관리에서 티빙 연동 권한을 점검하고 필요시 연결을 해제한 뒤 재연동하는 것이 안전합니다.

2단계: 2단계 인증(MFA)의 전면 도입

아이디와 비밀번호가 노출되더라도 추가적인 2차 인증 수단이 마련되어 있다면 타인이 무단으로 계정에 접속하는 것을 차단할 수 있습니다. 네이버, 카카오, 구글, 금융 기관 등 주요 계정에 대해 OTP 번호 생성기, 보안 앱 인증 등 2단계 인증 설정을 필수적으로 활성화해야 합니다. 단순 SMS 기반 인증은 유출된 개인정보를 통한 번호 탈취(SIM 스와핑) 위험이 존재하므로 가급적 전용 OTP 애플리케이션 기반 인증을 권장합니다.

 

3단계: 비대면 명의도용 방지 무료 서비스 등록

연계정보(CI)와 통신 정보 노출에 대응하여 제3자가 본인 명의로 신규 휴대전화를 개통하거나 알뜰폰 회선을 생성하지 못하도록 통신 차단 조치를 취해야 합니다. 한국정보통신진흥협회(KAIT)에서 운영하는 엠세이퍼(M-safer) 웹사이트에 접속하여 '가입제한 서비스'를 신청하면 본인 모르게 이동전화, 인터넷, 알뜰폰 등에 신규 가입되는 것을 사전에 전면 차단할 수 있습니다.

4단계: 피싱 및 스미싱 링크 유의

티빙 해킹 사고를 빌미로 '침해사고 보상금 지급 신청', '개인정보 유출 확인 조회', '피해 보상 쿠폰 발송' 등을 사칭하는 스미싱 문자메시지나 이메일이 급증할 가능성이 높습니다. 플랫폼 공식 홈페이지나 검증된 고객센터 앱을 직접 경유하지 않은 채 문자메시지 내에 포함된 단축 URL이나 외부 링크를 클릭하는 행위를 일체 금지해야 하며, 출처가 불분명한 설치 파일(APK)은 절대로 다운로드하지 않아야 합니다.

기업의 인프라 보안 실패가 이용자 개인의 일상적 디지털 위협으로 전가되는 구조를 막기 위해서는 플랫폼 운영사의 철저한 기술적 체질 개선이 필수적입니다. 아울러 이용자 스스로도 계정 자격 증명의 다변화와 이중 인증을 생활화하여 예상치 못한 데이터 유출 파장으로부터 개인 자산을 보호하는 선제적 보안 태세를 확립해야 합니다.