티빙 계정 유출, 3954만 개… 도대체 어떻게 된 거야?
솔직히 이 뉴스 보고 좀 놀랐습니다. 티빙 쓰는 분들 많잖아요. 저도 구독자인데, 3954만 개 계정이 유출됐다는 말을 듣고 바로 비밀번호 바꿨습니다. 2026년 9월 3일, 과학기술정보통신부가 민관합동조사단의 조사 결과를 발표했는데, 그 규모가 생각보다 훨씬 컸습니다.
활성화된 로그인 가능 계정이 2206만 개, 휴면·탈퇴 등 비활성화 계정이 1737만 개, 테스트 계정 11만 개를 합치면 총 3954만 개입니다. 물론 중복 포함된 숫자라서 실제 피해자 수는 다를 수 있습니다. 한 명이 최대 13개 계정을 보유한 사례도 있었다고 하니, 중복이 꽤 많긴 합니다.
| 활성화 계정 (로그인 가능) | 2,206만 개 |
| 비활성화 계정 (휴면·탈퇴) | 1,737만 개 |
| 테스트 계정 | 11만 개 |
| 합계 (중복 포함) | 3,954만 개 |
위 표를 보면 활성 계정만 2206만 개라는 게 정말 충격인데요. 비활성화됐다고 안심할 수 없는 게, 거기에도 이름이나 연락처 같은 개인정보가 남아 있거든요.
티빙 계정 유출 경로, 접속키 하나로 운영환경까지 침투
이번 사고에서 가장 황당한 부분이 바로 이겁니다. 공격자가 처음에 탈취한 건 개발자의 '개발환경 접속키' 하나였습니다. 이게 어떻게 3954만 계정 유출로 이어졌냐고요? 순서를 따라가 보면 이해가 됩니다.
5월 29일, 공격자는 미리 빼돌린 접속키로 티빙 개발환경에 들어갑니다. 거기서 개발 프로젝트들을 뒤지니까 소스코드 안에 '운영환경 접속키'가 무려 43개나 평문으로 저장돼 있었습니다. 근데 이게 2024년 모의해킹에서도 발견된 취약점이었는데 개선이 안 된 상태였던 겁니다. 정말 어이가 없는 부분입니다.
| 1단계 | 개발환경 접속키 사전 탈취 |
| 2단계 | 개발환경 침투 후 소스코드 내 운영환경 접속키 43개 확보 |
| 3단계 | 운영환경 무단 접속, DB 접속 정보(ID·PW) 평문 획득 |
| 4단계 | 가상서버 생성 후 이용자 정보 24GB 외부 서버로 유출 |
위 표에서 보듯이, 접속키 하나에서 시작해 단 며칠 만에 DB까지 털렸습니다. 특히 3단계에서 DB 접속 정보가 암호화 없이 평문으로 저장돼 있었다는 게 정말 충격적인 부분입니다.
티빙 계정 유출 항목, 뭐가 빠져나갔나?
유출된 정보는 ID, 성명, 비밀번호, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종이었습니다. 비밀번호는 일방향 암호화라 평문 복호화가 안 되는 게 그나마 다행인데, 휴대전화 번호와 이메일 주소 일부는 암호화됐어도 암호화키까지 함께 유출돼서 복호화가 가능한 상황이었습니다.
특히 CI(연계정보) 보유 계정에서 피해가 훨씬 컸습니다. CI 보유 계정 1904만 개는 평균 11.1개 항목이 유출됐고, CI 없는 계정은 평균 4.6개 항목에 그쳤습니다. CI가 뭔지 모르시는 분들을 위해 설명하면, 주민등록번호 대체 식별 정보인데 이게 털리면 신원 도용 위험이 훨씬 커지거든요.
보안 체계가 문제였다 — 265명 직원에 보안 전담 4명
이번 사고 조사에서 드러난 티빙의 보안 실태가 충격적이었습니다. 임직원 265명, 개발 인력 149명인데 정보보호 전담 인력은 4명 내외였다고 합니다. 사실 이 숫자가 이 사고를 설명하는 핵심인 것 같더라고요.
모든 개발자에게 전체 프로젝트 접근 권한을 줬고, 접속키를 소스코드에 그대로 노출하거나 평문 저장했습니다. 2024년 모의해킹에서 이 취약점이 발견됐는데도 개선이 없었고, 실시간 네트워크 모니터링이나 이상 탐지 시스템도 갖추지 않았습니다.
| 정보보호 전담 인력 | 265명 중 4명 내외 |
| 접속키 관리 | 소스코드에 평문 하드코딩 |
| 2024년 모의해킹 결과 | 취약점 발견 후 미개선 |
| 실시간 탐지 시스템 | 부재 |
| CISO 상황 공유 | 이상 징후 후 약 14시간 경과 |
위 표를 보면, 보안 인력 부족과 허술한 키 관리가 복합적으로 작용한 사고였습니다. 이상 징후 알림이 떠도 CISO(최고보안책임자)에게 14시간이 지나서야 보고됐다는 부분도 내부 체계가 얼마나 허술했는지 보여줍니다.
신고 지연으로 과태료까지 — 법적 처벌은?
티빙은 5월 31일 오전 10시 10분에 사고를 인지했지만, KISA(한국인터넷진흥원)에 신고한 건 다음 날인 6월 1일 오후 3시 8분이었습니다. 정보통신망법상 24시간 이내 신고 의무를 위반한 것입니다. 과기정통부는 이에 따라 과태료를 부과할 예정이라고 밝혔습니다.
개인정보 유출 피해 규모는 최종적으로 개인정보보호위원회가 상세 분석을 마친 후 확정할 예정입니다. 참고로 앞서 추산된 피해자 수는 약 1953만 명 수준이었는데요. 쿠팡 약 3756만 명, 싸이월드·네이트 약 3500만 명, SK텔레콤 약 2324만 명에 이어 역대 네 번째 규모가 될 것으로 보입니다.
기술 자산도 유출 — 소스코드 361건, 30GB 분량
개인정보만 빠져나간 게 아닙니다. 공격자는 개발 프로젝트 361건(30.35GB)도 챙겨 나갔는데, 여기에는 티빙의 콘텐츠 추천·검색 알고리즘, 이용자 인증 체계, 결제 관리 시스템 같은 핵심 기술 자산이 포함됐습니다. 이건 단순한 개인정보 유출이 아니라 사업 기밀 침해 수준입니다.
이번 티빙 계정 유출 사태를 보면서, OTT 서비스를 이용하는 사람으로서 다시 한번 비밀번호 관리의 중요성을 느꼈습니다. 다른 사이트와 같은 비밀번호 쓰고 있다면 지금 바로 바꾸는 게 좋습니다. CI 정보가 유출된 경우라면 금융거래나 본인인증 관련 이상 거래도 꼭 확인해 보시길 권합니다.