내 티빙 계정 정보도 유출됐을까 걱정되셨나요?
이번 사고로 무려 3954만개 계정 정보가 새어나갔습니다.
이름, 생년월일, 전화번호까지 포함된 대규모 유출이었습니다.
정부 조사단이 원인과 규모를 공식 발표했습니다.
아래에서 사건 전말을 순서대로 정리해드립니다.
목차
- 티빙 개인정보 유출 사건 개요
- 유출된 계정 규모는 얼마나 되나
- 어떤 개인정보가 유출됐나
- 해킹은 어떻게 이뤄졌나
- 티빙의 늑장 신고 논란
- 피해 보상과 재발방지 대책
- 내 정보 유출 여부 확인하는 방법
- 자주 묻는 질문
- 결론
티빙 개인정보 유출 사건 개요
지난 5월, 국내 온라인동영상서비스(OTT) 티빙에서 대규모 해킹 사고가 발생했습니다.
과학기술정보통신부 민관합동조사단은 9월 3일 서울 종로구 정부서울청사에서 조사 결과를 공식 발표했습니다.
조사 결과 티빙이 시스템 접속 키를 허술하게 관리한 것이 사고의 핵심 원인으로 드러났습니다.
이 문제로 이용자 개인정보뿐 아니라 추천·검색 알고리즘 같은 핵심 기술 자산까지 함께 유출됐습니다.
유출된 계정 규모는 얼마나 되나
유출된 계정 수는 총 3954만개로 집계됐습니다.
세부적으로는 로그인이 가능한 활성 계정이 2206만개, 휴면·탈퇴 계정이 1737만개, 테스트 계정이 11만개였습니다.
이 수치는 한 사람이 여러 계정을 가진 경우를 포함한 중복 집계이며, 실제로 한 명이 계정 13개를 보유한 사례도 확인됐습니다.
가입 경로별로 보면 네이버·카카오·페이스북·애플 등 SNS 간편가입이 2247만개로 가장 많았고, CJ ONE 통합회원이 863만개, 티빙 자체가입이 726만개였습니다.
정확한 실제 피해 인원과 세부 규모는 개인정보보호위원회가 항목별 분석을 마친 뒤 추후 확정할 예정입니다.
어떤 개인정보가 유출됐나
이번 사고로 유출된 정보는 이름, 휴대전화번호, 아이디, 비밀번호, 생년월일, 연계정보(CI), 결제 이력 등 20개 항목, 총 70종에 달합니다.
여기서 CI는 주민등록번호를 대신해 본인을 확인할 때 쓰이는 고유 값으로, 본인인증 과정에서 만들어지는 민감한 정보입니다.
조사 결과 CI를 보유한 계정 1904만개에서는 평균 11.1개 항목이, CI가 없는 계정 2040만개에서는 평균 4.6개 항목이 유출된 것으로 나타났습니다.
휴대전화번호와 이메일 주소는 일부 암호화된 상태였지만, 암호를 푸는 열쇠인 암호화 키까지 함께 새어나가 사실상 평문(암호화하지 않은 원본)과 같은 수준으로 복호화가 가능했습니다.
다행히 비밀번호는 원래 상태로 되돌릴 수 없는 일방향 암호화 방식으로 저장돼 있어 복호화가 불가능한 것으로 확인됐습니다.
개인정보 외에도 콘텐츠 추천·검색 알고리즘, 이용자 인증체계, 결제 관리 시스템 등이 담긴 개발 프로젝트 361건, 용량 30.35기가바이트(GB) 규모의 소스코드도 함께 빠져나갔습니다.
해킹은 어떻게 이뤄졌나
공격자는 사전에 빼돌린 ‘개발환경 접속키’를 이용해 티빙 내부 개발 시스템에 무단으로 접속했습니다.
이후 소스코드 안에 그대로 적혀 있거나 암호화 없이 저장된 ‘운영환경 접속키’ 43개를 추가로 확보했습니다.
이 과정에서 공격자는 이용자 정보가 담긴 데이터베이스(DB)의 접속 아이디와 비밀번호가 암호화조차 되어 있지 않다는 사실을 알아챘습니다.
공격자는 5월 30일 1차로 정보 유출을 시도했지만, 서버 과부하로 이상징후가 감지돼 티빙 측이 이를 차단했습니다.
그러나 다음 날인 5월 31일, 공격자는 별도의 가상 서버를 새로 만들어 탐지를 피한 뒤 개인정보 24GB를 해외 서버로 빼돌리는 데 성공했습니다.
티빙의 늑장 신고 논란
티빙은 5월 31일 오전 10시 10분에 최초로 침해 사실을 인지했습니다.
그런데 관련 기관인 한국인터넷진흥원(KISA)에 신고한 시점은 약 29시간이 지난 6월 1일 오후 3시 8분이었습니다.
정보통신망법에 따르면 침해 사고를 인지한 뒤 24시간 안에 신고해야 하는데, 이 의무를 지키지 못한 것입니다.
이 때문에 과학기술정보통신부는 정보통신망법 위반으로 티빙에 최대 3000만원의 과태료를 부과할 방침입니다.
피해 보상과 재발방지 대책
티빙은 사고 발표와 함께 피해 보상안을 내놨습니다.
피해 고객 전원에게 5000원 상당의 티빙 포인트를 지급하고, 1년간 해킹·피싱 안심 보험을 제공하기로 했습니다.
사이버 금융사기 피해가 발생할 경우 1인당 최대 300만원까지 보상할 계획입니다.
재발 방지를 위해 2030년까지 정보보호 투자를 최근 5년 대비 약 4배로 늘리고, 정보보호 전문 인력도 5년 안에 현재의 3배 수준으로 확대하기로 했습니다.
다만 조사단은 최초 침투 경로 자체는 끝내 명확히 밝혀내지 못했다고 설명했습니다.
내 정보 유출 여부 확인하는 방법
가장 먼저 할 일은 티빙 계정 비밀번호를 즉시 변경하는 것입니다.
같은 비밀번호를 다른 사이트에서도 쓰고 있다면 그 계정들도 함께 바꿔야 합니다.
티빙은 사고 발생 이후 피해 전담 상담 콜센터를 운영하고 있으니, 유출 여부와 대응 방법을 직접 문의할 수 있습니다.
또한 개인정보보호위원회나 한국인터넷진흥원(KISA)에서 운영하는 개인정보 노출 확인 서비스를 통해 본인 정보가 다크웹 등에 유통되고 있는지 점검하는 것도 방법입니다.
조사단은 현재까지 추가 공격 정황이나 실제 이용자 피해 사례, 다크웹을 통한 불법 유통 정황은 확인되지 않았다고 밝혔지만, 개인 차원의 예방 조치는 미리 해두는 것이 안전합니다.
스미싱 문자나 출처가 불분명한 전화, 이메일을 받으면 절대 링크를 클릭하거나 개인정보를 입력하지 않아야 합니다.
자주 묻는 질문
티빙 개인정보 유출로 몇 명이 피해를 입었나요?
유출된 계정 수는 중복 포함 3954만개입니다. 한 사람이 여러 계정을 보유한 경우가 많아 실제 피해 인원은 이보다 적을 수 있으며, 정확한 수치는 개인정보보호위원회가 추후 확정해 발표할 예정입니다.
비밀번호도 유출돼서 그대로 노출됐나요?
비밀번호는 복호화가 불가능한 일방향 암호화 방식으로 저장돼 있어 원래 값을 되돌릴 수는 없습니다. 다만 안전을 위해 비밀번호를 바꾸는 것이 좋습니다.
휴대전화번호와 이메일도 위험한가요?
휴대전화번호와 이메일은 일부 암호화돼 있었지만, 암호를 푸는 키까지 함께 유출돼 사실상 원본 그대로 노출된 것과 비슷한 상태로 조사됐습니다.
탈퇴한 계정도 유출 대상에 포함되나요?
네, 휴면·탈퇴 계정 1737만개도 유출 대상에 포함됐습니다. 오래전 탈퇴했더라도 안심할 수 없는 상황입니다.
티빙은 어떤 보상을 해주나요?
피해 고객 전원에게 5000원 상당의 포인트를 지급하고 1년간 해킹·피싱 안심 보험을 제공하며, 사이버 금융사기 발생 시 1인당 최대 300만원을 보상할 계획입니다.
왜 신고가 늦어졌나요?
티빙은 침해 사실을 인지한 지 약 29시간 만에 신고했습니다. 법에서 정한 24시간 이내 신고 의무를 넘겨, 정보통신망법 위반으로 과태료가 부과될 예정입니다.
결론
이번 티빙 개인정보 유출 사고는 3954만개 계정과 개발 프로젝트 361건이 함께 빠져나간 대규모 침해 사건이었습니다.
원인은 개발·운영환경 접속키를 암호화 없이 방치한 관리 부실이었습니다.
티빙은 24시간 신고 의무를 넘겨 늑장 신고 논란까지 더해졌습니다.
피해 보상과 재발 방지 대책이 발표됐지만, 이용자 스스로도 비밀번호 변경과 정보 유출 확인 등 자체 점검이 필요합니다.
