지난 5월 대규모 개인정보 유출 사고를 낸 CJ ENM의 온라인동영상서비스(OTT) 티빙이 고개를 숙였다.

티빙은 9월 3일 서울 중구 코리아나호텔에서 사이버 침해사고 관련 공식 사과 및 설명회를 열고 재발 방지 대책과 고객 보상안을 내놨다. 같은 날 과학기술정보통신부 민관합동조사단은 중복 계정을 포함해 3954만개 계정 정보가 유출됐다고 발표했다.

이번 사고에서는 이름·생년월일·휴대전화번호·이메일·연계정보(CI) 등 개인정보 70종뿐 아니라 소스코드가 포함된 기술자산 361건도 외부로 빠져나갔다. 일부 암호화된 개인정보를 보호하는 데 사용된 키도 함께 유출된 것으로 조사됐다.

◇ 3954만개 계정에 소스코드까지…개인정보 70종 유출

과기정통부 조사 결과 유출된 계정은 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 다만 여러 계정을 가진 이용자가 있어 3954만개가 곧 피해자 3954만명을 의미하는 것은 아니다. 실제 피해자 규모는 개인정보보호위원회의 추가 확인을 통해 파악될 예정이다.

유출된 정보에는 아이디와 성명, 생년월일, 휴대전화번호, 이메일주소, CI, 결제 관련 정보 등이 포함됐다. 전체적으로 20개 항목, 70종에 이른다.

고객 정보뿐 아니라 티빙의 서비스 운영과 관련된 개발 프로젝트 361건도 유출됐다. 여기에는 콘텐츠 추천·검색과 이용자 관리, 인증, 결제 등에 활용되는 소스코드가 포함됐다. 유출된 기술자산은 약 30GB 규모이며 고객 데이터도 약 24GB가 외부로 반출된 것으로 조사됐다.

비밀번호는 일방향 방식으로 저장돼 원문을 복원하기 어려운 것으로 파악됐다. 반면 일부 휴대전화번호와 이메일주소는 양방향 암호화 방식으로 보호됐지만, 이를 복호화하는 데 필요한 키도 함께 유출된 것으로 조사됐다.

◇ 접속키 관리 부실…2년 전 발견한 취약점도 개선 안 돼

사고의 출발점은 개발환경에 대한 접속키 탈취였다. 조사단에 따르면 공격자는 5월 29일 개발자 접속키를 이용해 개발환경에 침입한 뒤 소스코드에 노출돼 있던 운영환경 접속정보를 활용해 고객 정보가 있는 시스템까지 접근했다.

문제는 이런 취약점이 사고 당시 처음 드러난 것이 아니었다는 점이다. 티빙은 2024년 모의해킹 과정에서 개발·운영환경 접속키가 소스코드에 노출될 수 있는 문제를 확인했지만 이를 개선하지 않은 것으로 조사됐다. 접속 권한과 키 관리 역시 충분히 통제되지 않았던 것으로 파악됐다.

이상 징후를 놓친 것도 사고를 키웠다. 5월 30일 데이터베이스 서버에서 작업량이 급증하면서 이상 징후 알림이 발생했고 1차 유출 시도는 차단됐지만, 이를 침해사고로 판단하고 추가 대응하는 과정이 늦어졌다. 과기정통부는 접속키 관리뿐 아니라 비정상 행위 탐지·모니터링 등 정보보호 체계 전반에서 개선이 필요한 부분이 확인됐다고 밝혔다.

티빙은 침해사고를 인지한 뒤 법정 신고기한을 넘겨 관계 당국에 신고한 사실도 확인됐다. 이에 따라 신고 지연에 대한 과태료 처분 절차가 진행될 예정이다. 개인정보 유출에 대한 구체적인 제재 수위는 개인정보보호위원회의 추가 조사와 심의를 거쳐 결정될 예정이다.

◇ CI 1904만개 유출…티빙 “보안 투자 4배로”

이번 사고에서 특히 주목되는 것은 연계 정보(CI) 유출이다. CI는 본인확인 과정에서 생성되는 개인 식별값으로 여러 서비스에서 동일인 여부를 확인하는 데 활용된다. CI 자체만으로 주민등록번호나 계정에 바로 접근할 수 있는 것은 아니지만, 이름·전화번호·이메일 등 다른 유출 정보와 결합될 경우 흩어진 개인정보를 동일인 정보로 연결하는 데 악용될 가능성이 있다.

조사단에 따르면 CI가 포함된 계정은 1904만개였다. 다만 이 역시 중복 계정이 포함된 수치로, 실제 피해자 수와는 차이가 있을 수 있다. 현재까지 스미싱이나 보이스피싱, 다크웹 유통 등 구체적인 2차 피해 정황은 확인되지 않았다.

대규모 개인정보 유출은 티빙만의 문제가 아니다. GS리테일은 약 166만명의 개인정보 유출로 128억원대 과징금과 과태료 처분을 받았고, 쿠팡도 약 3755만명의 개인정보 유출 등으로 6246억원대 과징금 처분을 받았다. 잇따른 사고는 기업의 계정·접속정보 관리와 이상 징후 대응의 중요성을 보여준다.

티빙은 9월 3일 서울 중구 코리아나호텔에서 사이버 침해사고 관련 공식 사과 및 설명회를 열었다. 최주희 티빙 대표이사가 직접 사과문을 발표했다.

최 대표는 이날 고객과 관계자들에게 사과하고 재발 방지를 위해 보안 체계를 전면 재정비하겠다고 밝혔다. 티빙은 2030년까지 정보보호 투자 규모를 기존보다 약 4배 늘리고, 보안 전문인력도 5년 안에 3배 수준으로 확대할 계획이다. 제로트러스트 기반의 접근통제와 AI를 활용한 이상징후 탐지·실시간 대응 체계도 구축한다.

고객 보상안도 내놨다. 티빙은 1년간 사이버 금융사기 피해를 보장하는 보험과 프리미엄 시청환경 업그레이드, 5000원 상당의 티빙 포인트, 웨이브 이용권 또는 CGV 할인 쿠폰 등을 제공하기로 했다.

이번 사고는 단순히 유출된 개인정보의 규모에만 있지 않다. 이미 확인된 보안 취약점을 개선하지 못했고, 접속키와 권한 관리가 허술했으며, 이상 징후가 발생한 뒤에도 침해 사실을 신속하게 파악하지 못했다는 데 있다. 티빙이 내놓은 대규모 보안 투자와 조직 개편이 실제 보안 수준을 얼마나 끌어올릴지가 향후 신뢰 회복의 관건이 될 전망이다.