티빙 개인정보 유출 3954만 계정…휴면·탈퇴 포함, 접속키 관리 부실 드러나

티빙 개인정보 유출 사고로 약 3954만 개의 계정 정보와 소스코드가 포함된 개발 프로젝트 361건이 외부로 빠져나간 것으로 조사됐다. 과학기술정보통신부는 2026년 9월 3일 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

이번에 공개된 수치는 현재 서비스를 이용하는 계정뿐 아니라 휴면·탈퇴 계정과 테스트 계정까지 포함한다. 동일인이 여러 계정을 보유한 사례도 있어, 유출된 계정 수를 실제 피해자 수로 그대로 해석해서는 안 된다.

활성 계정 2206만 개, 휴면·탈퇴 계정도 포함

유출된 계정은 로그인이 가능한 활성 계정 약 2206만 개, 휴면 또는 탈퇴 처리된 비활성 계정 약 1737만 개, 테스트 계정 약 11만 개로 집계됐다.

비활성 계정이 전체 유출 계정의 약 44%를 차지한다는 점도 눈에 띈다. 현재 티빙을 이용하지 않더라도 과거 가입 과정에서 생성된 계정 정보가 이번 사고 범위에 포함됐을 수 있다는 의미다.

다만 휴면 계정과 탈퇴 계정은 상태가 다르고, 계정마다 남아 있는 정보의 종류도 같지 않다. 비활성 계정이 포함됐다는 사실만으로 모든 탈퇴 이용자의 개인정보가 동일하게 유출됐다거나 정보 보관 자체가 위법했다고 단정할 수는 없다.

3954만 계정과 실제 피해자 수는 구분해야

티빙은 자체 가입과 외부 서비스 연동 등 여러 경로로 계정을 만들 수 있다. 조사 과정에서는 한 사람이 최대 13개의 계정을 보유한 사례도 확인됐다. 가입 경로별로 생성된 계정이 중복 집계되면서 계정 수와 이용자 수 사이에 차이가 생긴 것이다.

본인인증 과정에서 수집되는 연계정보인 CI가 있는 계정은 약 1904만 개로 파악됐다. 이 범위에서 중복을 제거한 고유 이용자는 약 1324만 명이었다.

여기서도 집계 범위를 구분해야 한다. 1324만 명은 CI가 있는 계정에서 확인한 수치다. 이를 CI가 없는 계정까지 포함한 전체 피해자 수가 최종 확정된 것으로 받아들여서는 안 된다. 개인정보 유출의 구체적인 범위는 개인정보보호위원회의 추가 분석을 거쳐 확정될 예정이다.

개발환경 접속키에서 운영 시스템까지 침투

조사단은 공격자가 티빙 개발자의 개발환경 접속키를 먼저 탈취해 내부 시스템에 접근한 것으로 파악했다. 이후 개발 자료에 노출된 운영환경 접속키와 설정 정보를 확보하면서 실제 서비스 운영환경과 이용자 데이터베이스까지 침투했다.

이 과정에서 소스코드를 포함한 개발 프로젝트 361건이 유출됐다. 조사에서는 운영환경 접속키를 소스코드에 직접 적어 두거나 암호화하지 않은 상태로 관리한 문제가 확인됐다.

과기정통부는 접속키 관리체계뿐 아니라 비정상 행위 감시, 정보보호 인력, 기존 취약점 개선 등 전반적인 관리가 미흡했다고 지적했다. 2024년 모의해킹에서 확인된 접속키 관련 취약점이 제대로 개선되지 않은 점도 조사 결과에 포함됐다.

이러한 조사 결과는 개발 단계의 접근권한 관리 문제가 실제 이용자 정보를 보관하는 운영 시스템의 피해로 이어질 수 있음을 보여준다.

휴대전화번호·이메일은 암호화키까지 함께 유출

유출 정보에는 아이디, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보, 결제이력 등 20개 항목, 세부적으로 70종의 정보가 포함됐다. 다만 모든 계정에서 이 정보가 전부 유출됐다는 의미는 아니다.

비밀번호는 일방향 암호화된 상태로 유출된 것으로 조사됐다. 비밀번호 원문이 그대로 노출된 경우와는 구분된다.

반면 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 복호화가 가능한 것으로 파악됐다. 암호화 여부만 확인할 것이 아니라, 암호화된 정보를 다시 읽을 수 있게 하는 키가 안전하게 관리됐는지도 함께 살펴야 하는 이유다.

사고 인지 후 신고까지 28시간 58분

티빙이 침해사고를 처음 인지한 시점은 5월 31일 오전 10시 10분이었다. 한국인터넷진흥원에 신고한 시점은 6월 1일 오후 3시 8분으로, 인지 이후 28시간 58분이 지난 뒤였다.

정보통신망법에 따른 침해사고 신고기한인 인지 후 24시간을 약 4시간 58분 넘긴 것이다. 과기정통부는 신고 지연과 관련해 최대 3000만 원의 과태료를 부과할 예정이다.

이 과태료는 침해사고 신고 지연에 대한 조치다. 개인정보 유출 사고 전체에 대한 최종 제재 금액이 3000만 원으로 확정됐다는 뜻은 아니다. 개인정보보호위원회의 별도 조사와 판단을 구분해 볼 필요가 있다.

후속 조사는 유출 범위와 재발 방지 이행에 초점

과기정통부는 티빙에 2026년 9월까지 재발 방지 대책 이행계획을 제출하도록 하고, 2027년 1월부터 이행 여부를 점검할 계획이다. 개인정보보호위원회는 유출 항목과 규모를 추가로 분석할 예정이다.

따라서 이번 발표는 전체 유출 계정 규모와 침투 경로, 관리상 문제를 확인한 조사 결과로 읽어야 한다. 개별 이용자의 피해 범위와 개인정보 보호 의무 위반에 대한 판단은 후속 조사 내용을 확인해야 한다.

티빙의 후속 대응에서는 노출된 접속키와 접근권한을 어떻게 정비했는지, 과거에 발견한 취약점을 실제로 개선했는지가 주요 확인 대상이 된다. 현재 이용자뿐 아니라 휴면·탈퇴 계정까지 포함된 만큼, 이용자가 자신의 유출 여부와 해당 정보 항목을 명확히 확인할 수 있도록 안내하는 일도 필요하다.