티스토리 뷰
목차
티빙 계정으로 드라마 한 편 보고 나서, 문득 이 앱이 내 정보를 얼마나 갖고 있을지 생각해 본 적이 있습니다. 이름, 전화번호 정도겠거니 했는데 이번 정부 조사 결과를 보고 나서 그 안일함이 부끄러워졌습니다. 총 3954만 개 계정과 70종의 개인정보가 유출됐고, 이미 발견된 보안 취약점이 방치됐다는 사실이 단순한 해킹 사고 이상으로 느껴졌습니다.
3954만 개, 숫자가 말해주는 유출 규모
과학기술정보통신부 민관합동조사단이 2025년 9월 3일 발표한 티빙 침해사고 조사 결과에 따르면, 유출된 계정은 총 3954만 개로 집계됐습니다(출처: 과학기술정보통신부). 처음 언론에서 약 1953만 명이라는 숫자가 나왔을 때도 적지 않다고 생각했는데, 최종 조사에서 휴면·탈퇴 계정까지 포함하니 두 배 가까이 늘어난 수치였습니다.
유출 계정을 유형별로 나눠보면 이렇습니다.
- 활성 계정: 약 2206만 개 — 현재 실제로 사용 중인 계정
- 비활성 계정: 약 1737만 개 — 휴면 또는 탈퇴 처리된 계정
- 테스트 계정: 약 11만 개 — 서비스 개발·테스트 용도로 생성된 계정
- 자체가입 726만, CJ ONE 통합회원 863만, SNS 간편가입 2247만으로 가입 경로도 다양
여기서 한 가지 짚고 넘어갈 부분이 있습니다. 3954만 개는 계정 수이지, 피해자 수가 아닙니다. 실제로 최대 13개 계정을 가진 이용자도 있었다고 하니 실제 피해 인원은 더 적을 수 있습니다. 그렇다고 이 숫자가 가벼워지는 건 아닙니다. 제가 직접 세어보진 않았지만, 저도 티빙 계정을 두 개 이상 만든 기억이 있거든요.
더 신경 쓰인 부분은 유출된 정보의 종류였습니다. 성명, 휴대전화번호, 이메일주소, 생년월일, 결제이력 등 20개 항목·70종에 달했습니다. 단순히 아이디 하나가 새나간 것이 아니라, 그 사람의 생활 패턴과 결제 흔적까지 통째로 빠져나간 셈입니다.
보안 취약점이 방치된 과정
이번 사고를 이해하려면 공격자가 어떤 경로로 침투했는지를 따라가 봐야 합니다. 공격자는 사전에 탈취한 개발자의 접속키(API Key)를 이용해 5월 29일 티빙 개발시스템에 처음 발을 들였습니다. 여기서 접속키(API Key)란 특정 시스템이나 서비스에 접근할 수 있도록 발급되는 디지털 열쇠를 의미합니다. 비밀번호처럼 작동하는데, 한 번 탈취되면 해당 키가 허용하는 모든 권한을 그대로 행사할 수 있습니다.
공격자는 개발시스템에서 소스코드가 담긴 개발 프로젝트 361건을 빼낸 뒤, 그 안에 숨겨진 추가 접속키를 확보해 운영시스템까지 침투했습니다. 소스코드(Source Code)란 서비스가 실제로 작동하는 프로그램의 원본 설계도입니다. 이게 외부에 유출되면 서비스 구조와 취약점이 고스란히 드러나기 때문에 2차 공격 경로를 찾는 데 활용될 수 있습니다.
제가 이 부분을 읽으면서 가장 어이없었던 건 따로 있습니다. 조사 결과에 따르면 운영시스템 접속키 43개가 소스코드 안에 그대로 포함돼 있었습니다. 쉽게 말해, 서비스의 '마스터키' 수십 개가 설계 도면 한 장에 모두 적혀 있었던 셈입니다. 더구나 모든 개발자가 전체 프로젝트에 접근할 수 있는 구조였으니, 접속키 하나만 뚫려도 전체 시스템으로 피해가 번질 수 있었습니다.
문제는 이런 구조가 이미 알려진 위험이었다는 점입니다. 티빙은 2024년 모의해킹 테스트에서 접속키 관리 취약점을 발견하고도 개선하지 않은 것으로 조사됐습니다(출처: 경향신문). 제 경험상 이런 경우가 가장 안타깝습니다. 문제를 몰라서 당한 것이 아니라, 알고도 넘어간 것이기 때문입니다.
14시간, 대응이 늦어진 이유
이번 사고에서 제가 두 번째로 주목한 숫자는 14시간이었습니다. 첫 이상징후가 나타난 이후 보안 책임자에게 상황이 전달되기까지 걸린 시간입니다. 사이버 공격은 빠르게 진행됩니다. 실제로 공격자는 5월 29일 개발시스템에 침투한 뒤 하루도 지나지 않아 운영시스템으로 넘어갔고, 31일에는 이용자 정보 24GB를 외부로 빼냈습니다.
이상행위 탐지체계(SIEM)란 시스템 내 비정상적인 접근이나 데이터 흐름을 실시간으로 감지하는 보안 모니터링 구조를 말합니다. 이 체계가 제대로 작동했다면 공격 초기에 경보가 울렸어야 했습니다. 그런데 조사 결과에 따르면 티빙은 처음 서버 과부하 방식의 공격은 차단했지만, 이후 공격자가 CPU 부하를 낮추는 방식으로 전환하자 해킹 시도를 제대로 탐지하지 못했습니다. 솔직히 이건 예상 밖이었습니다. 공격 방식 하나만 바꿨는데 탐지를 피할 수 있었다는 게 허술하다는 생각이 들었습니다.
정보보호 전담인력이 4명 내외에 그쳤다는 조사 결과도 눈에 띄었습니다. 수천만 명의 개인정보를 다루는 서비스에 보안 전담 인력이 4명이라는 건, 건물 전체 열쇠를 한 명이 관리하는 것과 비슷한 이야기로 느껴졌습니다.
티빙은 이번 유출 사고에서 24시간인 법정 신고기한을 넘긴 것으로도 조사됐습니다. 개인정보 침해 사고가 발생했을 때 기업은 24시간 이내에 당국에 신고해야 하는데, 이 기한도 지키지 못한 셈입니다.
유출 이후 지금 우리가 할 수 있는 것
현재까지 2차 피해는 확인되지 않았습니다. 하지만 유출 사실 자체와 2차 피해 발생 여부는 별개의 문제입니다. 이름, 전화번호, 결제이력이 외부에 노출됐다면 피싱 문자나 스미싱 시도에 악용될 가능성은 언제든 남아 있습니다. 여기서 스미싱(Smishing)이란 SMS와 피싱(Phishing)을 합친 말로, 문자 메시지를 통해 링크 클릭을 유도하거나 개인정보를 빼내는 사기 수법을 뜻합니다.
제가 이번 소식을 접한 뒤 바로 한 것은 오래된 계정 정리였습니다. 탈퇴했다고 생각했던 서비스 계정들이 실제로는 휴면 상태로 남아 있는 경우가 꽤 있었습니다. 이번 조사에서 비활성 계정도 1737만 개나 유출됐다는 사실이 그걸 다시 확인시켜줬습니다. 안 쓰는 계정도 데이터는 남아 있습니다.
정부 차원에서는 과기정통부가 과태료를 부과하고 재발방지 대책 이행 여부를 점검할 예정입니다. 개인정보보호위원회도 별도 조사를 진행 중으로, 법 위반이 확인되면 과징금 등 추가 제재가 이어질 가능성이 있습니다. 기업에 대한 제재와 별개로, 개인이 스스로 할 수 있는 보안 습관을 점검하는 것도 지금 할 수 있는 실질적인 행동입니다.
한편 SNS 간편가입 이용자의 경우 과기부 발표에 따르면 SNS 계정 정보가 동시에 유출될 위험성은 없다고 밝혔습니다. 티빙이 수집한 항목은 이름, 이메일주소, 휴대전화번호 등 연계 정보에 한정되기 때문입니다. 제 경험상 이런 공식 발표는 참고하되, 의심스러운 로그인 시도가 있는지 직접 SNS 계정 보안 설정을 한 번씩 확인해두는 편이 안심이 됩니다.
자주 묻는 질문
Q. 티빙 탈퇴했는데도 개인정보가 유출됐나요?
A. 이번 조사에서 탈퇴·휴면 계정을 포함한 비활성 계정도 약 1737만 개가 유출된 것으로 확인됐습니다. 탈퇴를 했더라도 시스템에 데이터가 남아 있는 경우 피해 대상에 포함될 수 있습니다. 오래전에 탈퇴한 서비스라도 안심하기 어려운 이유가 여기 있습니다.
Q. 비밀번호도 유출됐나요?
A. 비밀번호는 원래 값을 되돌릴 수 없는 방식으로 암호화돼 있었다고 조사 결과에서 밝혔습니다. 다만 휴대전화번호와 이메일주소 일부는 암호화되어 있었어도 암호화키가 함께 유출됐기 때문에 복원이 가능한 상태입니다. 비밀번호 자체보다 전화번호와 이메일 노출에 더 주의가 필요합니다.
Q. SNS로 티빙 가입했으면 SNS 계정도 위험한가요?
A. 과기정통부 발표에 따르면 SNS 계정 정보 자체가 유출될 위험성은 없다고 밝혔습니다. 티빙이 SNS 간편가입 과정에서 수집하는 정보는 이름, 이메일주소, 티빙이 추가로 요청한 휴대전화번호 등에 한정되기 때문입니다. 다만 수집된 이메일이나 전화번호가 유출된 만큼, 해당 정보로 연결된 다른 계정의 보안 설정은 점검해두는 것이 좋습니다.
Q. 이번 사고 이후 티빙은 어떤 제재를 받나요?
A. 과학기술정보통신부는 과태료를 부과하고 재발방지 대책 이행 여부를 점검할 예정입니다. 개인정보보호위원회도 별도 조사를 진행 중이며, 법 위반이 확인되면 과징금 등 추가 제재가 내려질 가능성이 있습니다. 공격자 특정은 아직 이뤄지지 않았으며 경찰 수사로 밝혀질 사안이라고 당국은 설명했습니다.
결론
이번 티빙 개인정보 유출 사건을 쭉 따라가다 보니, 제 머릿속에 가장 오래 남은 건 "알고도 고치지 않았다"는 대목이었습니다. 해커가 완전히 새로운 기술을 써서 뚫은 게 아니라, 이미 2024년 모의해킹에서 발견된 접속키 관리 취약점이 그대로 방치된 상태에서 터진 사고이기 때문입니다. 기술의 문제가 아니라 의지와 우선순위의 문제처럼 보입니다.
기업이 고객 정보를 수집하는 순간, 그 정보를 지킬 책임도 함께 진다고 생각합니다. 보안은 사고가 났을 때 뒤늦게 챙기는 항목이 아니라, 서비스를 운영하는 내내 유지해야 하는 기본값입니다. 개인 입장에서는 지금 당장 안 쓰는 계정을 정리하고, 중요한 서비스마다 서로 다른 비밀번호를 쓰는 것부터 시작하면 됩니다. 작은 습관 하나가 나중에 의외로 큰 피해를 막아주는 경우가 있습니다.