38stock 뉴스속보

www.38.co.kr

2026년 09월 03일 15:46 김소연 기자

티빙 가입자 정보 "싹 털렸다"…3954만개 계정+@

티빙, 사고 인지 후 24시간 지나 신고…정부 3000만원 이하 과태료

올해 5월 발생한 티빙(TVING) 침해사고로 총 3954만개 계정의 개인정보가 유출된 것으로 밝혀졌다. 티빙의 전체 가입자 정보가 빠져나간 것으로, KT 고객 보답프로그램을 통해 무상 제공된 티빙 이용권을 쓰기 위해 가입한 52만7000건의 개인정보 역시 유출됐다.

과학기술정보통신부는 3일 오후 서울 세종대로 정부서울청사에서 이 같은 티빙 침해사고에 대한 민관합동조사단 조사결과를 발표했다.

조사 결과 △활성화 계정 2206만개 △비활성화 계정 1737만개(휴면 850만개·탈퇴 887만개) △테스트 계정 11만개 등 총 3954만개 계정(중복 포함)이 유출됐다. 티빙에서 개발 중이던 프로젝트 361건(30.35GB 규모)도 함께 유출됐다.

1인이 최대 13개 중복 계정 보유…SNS·CJ ONE 통한 가입자 약 80%

이번 침해사고의 피해규모가 컸던 것은 상대적으로 가입이 쉬운 구조가 원인으로 꼽힌다. 티빙은 가입자 1명이 최대 13개까지 계정을 보유했을 정도로 중복 계정이 많았다. CJ ONE(원) 외에 △네이버 △카카오 △X(구 트위터) △애플 △페이스북 등 SNS(소셜미디어)를 통한 간편가입이 가능해서다.

실제 티빙 자체가입 계정은 726만개로 유출된 계정 수의 18%였고 나머지 유출 계정은 CJ원 통합회원(863만개)와 SNS 간편가입(2247만개)으로 생성된 것이 대다수였다.

이번 침해 사고로 유출된 정보는 △ID △비밀번호(일방향 암호화) △CJ 원 통합ID △성명 △휴대전화 번호 △이메일 △생년월일 △개인 식별을 위한 연계정보(CI) 등 20개 항목(70종)이다.

CI는 온라인상 개인 식별 고유값으로, 다른 정보와 결합하면 개인 특정이 가능해 스미싱, 피싱 등에 악용될 수 있다. CI 보유 계정은 1904만개(중복 제거시 1324만개)로, 이들의 유출 정보가 평균 11.1개 항목에 달해 미보유 계정(4.6개 항목)보다 많았다. CI 보유 계정 중 활성화 계정은 949만개(휴면 370만개, 탈퇴 5만개 제외)다.

SNS 간편 로그인 계정은 이메일과 이름만 티빙에 제공했고 네이버를 통한 가입 계정은 출생연도과 성별을 추가 제공했다. 임정규 정보보호네트워크정책관은 "티빙의 정보가 유출됐다고 SNS 계정 정보가 동시에 유출될 위험은 없다"고 설명했다. 이용자 2차 피해나 다크웹 내 불법거래 정황도 현재까진 탐지되지 않았다.

공격자는 접속키를 이용해 개인정보를 탈취한 것으로 드러났다. 먼저 '개발환경 접속키'를 탈취해 티빙이 개발중인 프로젝트 361건 전체를 유출했고, 이 프로젝트 내 소스코드에 접근된 '운영환경 접속키'로 운영환경에 접근해 개인정보를 빼낸 것으로 확인됐다. 경찰은 이번 사고의 공격자를 파악하기 위해 수사 중이다.

티빙, 고의성 없지만 인지 후 24시간 지나 신고…과태료 부과 예정

티빙은 당초 침해사고 인지 시점을 5월31일 오후 3시9분이라고 밝혔다. 그러나 조사단은 정보유출 의심상황이 정보보안팀에 전파된 31일 오전 10시10분이라고 봤다. 한국인터넷진흥원(KISA) 신고 시점이 6월1일 오후 3시8분으로, 고의성은 없지만 인지시점 후 24시간이 지났기 때문에 과기정통부는 정보통신망법에 따라 티빙에 3000만원 이하 과태료를 부과할 방침이다. 이 사고는 5월30일에 발생한 만큼 강화된 정보통신망법(10월1일 시행), 개인정보보호법(9월11일 시행) 적용을 받지 않는다.

과기정통부는 티빙의 △ 접속키 관리 체계 부실 △ 비정상 접속 모니터링 체계 부재 △정보 거버넌스 미흡(전체 256명 중 정보보호 인력 4명) △ 침해사고 지연을 문제 삼았다. 이에 따라 재발방지 대책에 따른 이행계획을 9월 내 제출토록 하고, 티빙 이행 여부를 3개월 후인 내년 1월 점검할 계획이다.

프린트하기 닫기

www.38.co.kr