[26.06.10] 티빙 1300만명 정보 유출

티빙 1300만명 정보 유출

📍AWS 접근키·깃허브 하드코딩 정황까지…900만 이용자 눈앞 토종 OTT, 신뢰 회복 시험대

국내 토종 온라인동영상서비스(OTT) 티빙의 성장세에 제동이 걸렸다. 사상 초유의 대규모 개인정보 유출 사고가 발생하면서 단순한 보안 사고를 넘어 플랫폼 신뢰 전반이 흔들리고 있다는 평가가 나온다. 월간활성이용자수(MAU) 900만명 돌파를 눈앞에 두고 쿠팡플레이를 바짝 추격하던 티빙으로서는 최대 위기를 맞게 됐다.

특히 이번 사고는 단순 해킹을 넘어 클라우드 접근키 관리와 개발 과정에서의 보안 통제 부실 정황까지 드러나며 파장이 커지고 있다. 민관합동조사단과 개인정보보호위원회 조사 결과에 따라 대규모 과징금 부과는 물론 집단소송 논의까지 본격화될 가능성이 제기된다.

🔹1300만명 정보 유출…국내 OTT 사상 최대 개인정보 사고

10일 업계에 따르면 이번 티빙 개인정보 유출 사고의 잠정 피해 규모는 약 1300만명에 달하는 것으로 파악됐다. 지난달 기준 티빙의 월간활성이용자수(MAU)가 882만명 수준이었다는 점을 감안하면 현재 이용자뿐 아니라 휴면 계정과 무료 회원까지 유출 대상에 포함됐을 가능성이 크다.

티빙 측은 아직 정확한 피해 규모가 확정된 것은 아니며 관계 기관 조사가 마무리된 이후 최종 규모를 확인할 수 있다는 입장이다. 그러나 국내 OTT 업계에서 이 정도 규모의 개인정보 유출 사고가 발생한 것은 사실상 처음이라는 점에서 충격은 상당하다.

해커는 지난 2일 티빙 이용자 정보를 저장하는 데이터베이스에 비인가 접근해 개인정보 파일을 외부로 전송한 것으로 알려졌다. 문제는 회사가 이를 인지하기까지 상당한 시간이 걸렸다는 점이다.

티빙이 한국인터넷진흥원(KISA)에 제출한 침해사고 신고서에 따르면 비정상적인 데이터 조회와 명령이 시작된 시점부터 회사가 이를 발견하기까지 약 21시간이 소요됐다. 그동안 침입자는 내부 시스템에서 자유롭게 활동하며 데이터 조회와 명령 실행을 반복했던 것으로 전해졌다.

업계에서는 "보안 사고 자체보다 중요한 것은 탐지와 차단 속도"라며 "하루 가까운 시간 동안 이상 징후를 발견하지 못했다는 점은 보안 관제 체계 전반에 대한 점검 필요성을 보여준다"고 지적했다.

🔹AWS 접근키·깃허브 하드코딩 정황…기본 보안 수칙 논란

이번 사고가 더욱 심각하게 받아들여지는 이유는 침입 경로와 관련된 정황 때문이다.

KISA에 제출된 신고서에는 티빙이 "공격에 사용된 것으로 확인된 아마존웹서비스(AWS) 액세스 키를 폐기했다"는 내용이 포함된 것으로 알려졌다. 이는 클라우드 시스템 접근 권한 관리 과정에서 문제가 있었을 가능성을 시사한다.

AWS 접근키는 클라우드 인프라에 접근할 수 있는 핵심 인증 수단이다. 업계에서는 접근키 유출 방지를 위해 정기 교체와 최소 권한 원칙 적용 등을 기본 보안 수칙으로 꼽는다.

더 큰 논란은 개발자 협업 플랫폼인 깃허브(GitHub)와 관련된 부분이다. 신고서에는 코드 내 하드코딩된 자격증명을 제거하고 교체했다는 내용도 담긴 것으로 전해졌다.

하드코딩은 아이디나 비밀번호, 접근 토큰 같은 민감 정보를 프로그램 코드 내부에 직접 입력하는 방식이다. 만약 코드 저장소 관리 과정에서 해당 정보가 외부에 노출됐다면 공격자에게 시스템 접근 경로를 제공했을 가능성도 배제할 수 없다.

보안 업계 관계자는 "하드코딩 제거는 개발 보안의 가장 기본적인 원칙 중 하나"라며 "조사 결과 실제로 자격증명 관리 부실이 확인된다면 기업의 정보보호 체계 전반에 대한 책임론으로 확대될 수 있다"고 말했다.

다만 현재까지 정확한 침입 경로는 확정되지 않았으며, 민관합동조사단의 포렌식 분석 결과를 통해 최종 확인될 전망이다.

🔹'디지털 주민등록번호' CI 유출 우려 확산

유출된 개인정보 항목 역시 적지 않다.

현재까지 알려진 유출 정보에는 회원 아이디와 이름, 생년월일, 성별, 연계정보(CI), 중복가입확인정보(DI), 전화번호 일부, 이메일 일부, 환불 계좌번호, 비밀번호, 서비스 이용 정보 등이 포함된 것으로 전해졌다.

주민등록번호와 신용카드 정보 등 직접적인 결제 정보는 티빙이 보유하지 않아 유출 대상에서 제외된 것으로 알려졌다. 그러나 전문가들은 오히려 CI 정보의 유출 가능성을 가장 우려하고 있다.

CI는 본인인증을 거쳐 생성되는 고유 식별값으로, 여러 온라인 서비스에서 동일하게 활용될 수 있어 '디지털 주민등록번호'로 불린다. 한 번 유출되면 변경이 사실상 불가능하다는 점도 문제로 꼽힌다.

CI 정보만으로 금융 거래나 계정 탈취가 가능한 것은 아니지만, 공격자가 다른 유출 데이터와 결합할 경우 개인 정보를 재조합해 보다 정교한 범죄에 활용할 위험이 존재한다.

최근 수년간 통신사와 금융권, 이커머스 업계에서 대형 개인정보 유출 사고가 반복됐다는 점에서 이러한 우려는 단순한 가정에 그치지 않는다.

비밀번호 역시 안심할 수 없는 상황이다. 티빙 측은 비밀번호가 단방향 암호화 방식으로 저장돼 있다고 설명했지만, 이용자가 단순한 비밀번호를 사용했다면 무차별 대입 공격 등을 통해 원래 값을 추정할 가능성을 완전히 배제할 수는 없다.

이에 따라 티빙은 동일한 계정 정보를 사용하는 다른 서비스의 비밀번호를 변경할 것을 이용자들에게 권고하고 있다.

업계에서는 이번 사고가 단순한 개인정보 유출을 넘어 국내 플랫폼 산업 전반의 정보보호 수준과 이용자 신뢰 문제를 다시 한번 돌아보는 계기가 될 수 있다고 보고 있다.

🔹CJ그룹 정보보호 체계 시험대…모회사 책임론 부상

이번 사태는 티빙을 넘어 CJ그룹 전체의 정보관리 역량에 대한 의문으로까지 번지고 있다.

특히 티빙 해킹 사실이 알려지기 불과 보름 전, CJ그룹 여성 임직원 330여 명의 개인정보가 텔레그램 대화방에 무단 유포되는 사건이 발생했다는 점에서 파장은 더욱 커졌다. 당시 유출된 정보에는 사진과 이름, 전화번호, 직급 등이 포함됐으며, CJ그룹은 해당 정보를 유출한 직원을 특정해 경찰에 고발한 상태다.

내부자에 의한 임직원 정보 유출과 외부 해커에 의한 고객 정보 유출이 짧은 기간 내 연이어 발생하면서 그룹 차원의 정보보호 거버넌스가 제대로 작동하고 있는지에 대한 의문이 제기되고 있다.

CJ ENM은 티빙 지분 48.85%를 보유한 최대주주다. 법적 책임은 개인정보처리자인 티빙에 있지만, 실질적인 경영 영향력을 행사하는 만큼 그룹 차원의 관리 책임에서 자유롭기 어렵다는 지적도 나온다.

CJ ENM은 ESG 보고서를 통해 그룹 정보보호위원회 운영과 정보보호 체계 고도화를 강조해 왔다. 그러나 이번 사고를 계기로 실제 현장에서 이러한 체계가 제대로 작동했는지 검증이 불가피해졌다는 평가다.

업계에서는 정보보호최고책임자(CISO)의 권한과 조직 위상 강화 필요성도 제기한다. 보안 투자를 결정하고 전사적인 대응을 이끌기 위해서는 충분한 예산 집행 권한과 최고경영진 수준의 의사결정 참여가 필요하다는 것이다.

🔹집단소송·과징금 현실화 가능성…커지는 재무 부담

티빙은 이번 사고로 막대한 재무적 부담까지 떠안을 가능성이 있다.

현행 개인정보보호법에 따르면 개인정보보호위원회는 개인정보 유출 기업에 대해 전체 매출액의 최대 3% 범위에서 과징금을 부과할 수 있다.

티빙의 지난해 매출은 4060억원이다. 단순 계산으로 최대 약 122억원 규모의 과징금이 부과될 수 있는 셈이다. 여기에 이용자 보상 비용과 보안 인프라 강화 비용, 법률 대응 비용 등이 추가될 경우 부담은 더욱 커질 수 있다.

문제는 티빙의 재무 상황이다.

티빙은 2020년 CJ ENM에서 물적분할된 이후 아직 연간 흑자를 기록하지 못했다. 지난해 매출은 전년 대비 감소한 4060억원을 기록했고, 영업손실 698억원과 순손실 893억원을 냈다. 누적 결손금은 5000억원을 넘어선 상태다.

이런 상황에서 대규모 과징금까지 현실화될 경우 수익성 개선 계획에도 적지 않은 차질이 예상된다.

또한 시민단체를 중심으로 집단소송법 제정 필요성이 다시 부각되고 있다. 최근 SK텔레콤과 쿠팡, 넷마블, 금융권 등에서 개인정보 유출 사고가 잇따르면서 피해자 구제를 보다 쉽게 할 수 있는 제도적 장치가 필요하다는 주장에 힘이 실리는 분위기다.

🔹900만 이용자 눈앞서 급제동…잘나가던 티빙의 위기

이번 사태가 더욱 뼈아픈 이유는 사고 직전까지 티빙의 성장세가 가팔랐기 때문이다.

모바일인덱스에 따르면 티빙의 지난 5월 월간활성이용자수(MAU)는 약 882만명으로 전월 대비 14.4% 증가했다. 국내 주요 OTT 가운데 두 자릿수 증가율을 기록한 곳은 티빙이 유일했다.

특히 KBO리그 중계권 확보는 티빙 성장의 핵심 동력으로 꼽힌다. 티빙은 2024년부터 프로야구 중계권을 확보한 데 이어, 약 4500억원 규모의 계약을 통해 2031년까지 독점 중계 체제를 구축했다.

여기에 오리지널 콘텐츠와 CJ ENM 예능 콘텐츠의 경쟁력까지 더해지면서 2위 쿠팡플레이와의 격차는 빠르게 좁혀지고 있었다.

실제로 쿠팡플레이와의 월간 이용자 수 차이는 한때 100만명 이상 벌어졌지만 최근에는 약 30만명 수준까지 감소한 것으로 나타났다.

그러나 개인정보 보호는 이제 콘텐츠 경쟁력만큼 중요한 플랫폼 선택 기준이 됐다.

전문가들은 충성도가 높은 이용자들은 서비스를 유지할 가능성이 있지만, 이용 빈도가 낮은 이용자나 휴면 계정 이용자들의 경우 이번 사고를 계기로 이탈할 가능성이 있다고 분석한다.

OTT 시장은 통신 서비스와 달리 약정에 묶여 있지 않다. 이용자들은 클릭 몇 번만으로도 해지할 수 있다. 그만큼 신뢰 훼손이 가입자 감소로 이어질 가능성도 높다는 의미다.

🔹결국 관건은 '신뢰 회복'

업계는 이번 사태의 향방이 티빙의 위기 대응 능력에 달려 있다고 보고 있다.

사고 자체는 어떤 기업에서도 발생할 수 있지만, 이후 얼마나 투명하게 정보를 공개하고 피해 구제에 나서는지가 이용자 신뢰 회복의 핵심이라는 것이다.

현재 민관합동조사단과 개인정보보호위원회의 조사가 진행 중이며, 향후 침입 경로와 정확한 유출 규모, 보안 관리 소홀 여부 등이 구체적으로 드러날 전망이다.

만약 조사 과정에서 중대한 관리 부실이 확인된다면 티빙은 신뢰 하락과 재무 부담이라는 이중고를 피하기 어려울 것으로 보인다.

반대로 충분한 보상과 적극적인 정보 공개, 가시적인 보안 투자 확대가 이어진다면 콘텐츠 경쟁력을 바탕으로 다시 성장 동력을 확보할 가능성도 있다.

1300만명의 개인정보 유출이라는 초유의 사태는 단순히 한 기업의 위기를 넘어 국내 플랫폼 산업 전반에 정보보호 체계의 중요성을 다시 일깨우는 계기가 되고 있다.

1줄 요약 : 티빙은 1300만명 규모의 개인정보 유출 사고로 보안 관리 부실 논란과 함께 과징금·집단소송 가능성에 직면하며, 900만 이용자 시대를 눈앞에 둔 성장세 속에서 최대의 신뢰 위기를 맞게 됐다.