[26.06.17] 티빙 ‘1,953만 명’ 개인정보 유출…보안 줄이더니 역대급 사고

티빙 ‘개인정보 1,953만 명’ 유출… 보안 투자 줄이더니 ‘사고’ 터졌다

국내 대표 OTT(동영상스트리밍서비스) 플랫폼 티빙에서 1,950만 명이 넘는 역대급 규모의 개인정보 유출 사고가 발생했다. 해킹으로 인해 이용자들의 민감 정보가 대량으로 외부 유출되었음에도, 티빙 측은 오히려 최근 2년 연속 보안 예산을 삭감해온 사실이 드러나 ‘안전불감증이 부른 인재’라는 비판이 거세지고 있다.

1. 실제 이용자 수의 2.5배… ‘유령 계정’까지 모조리 털렸다

이번 사건을 조사 중인 개인정보보호위원회와 국회 과학기술정보방송통신위원회 소속 이정헌 더불어민주당 의원실에 따르면, 현재까지 파악된 티빙의 개인정보 유출 피해 규모는 무려 1,953만 명에 달한다. 이는 사고 발생 초기 정부가 파악했던 잠정치(1,300만 명)를 훨씬 웃도는 수준으로, 역대 국내 정보유출 사건 중 쿠팡(3,755만 명), SK텔레콤(2,696만 명)에 이어 세 번째로 큰 규모다.

• 이용자 수 상회하는 미스터리: 가장 큰 문제는 이 숫자가 티빙의 실제 서비스 이용 규모를 압도한다는 점이다. 시장조사기관 모바일인덱스에 따르면 지난 4월 기준 티빙의 월간 활성 이용자(MAU)는 약 770만 명, 유료 가입자는 500만 명 안팎이다. 즉, 유출된 데이터가 실제 활성 이용자보다 1,200만 명 이상 많다.
• 개인정보위 집중 조사: 당국은 이 격차의 배경에 탈퇴 회원과 휴면 계정 보유자, 그리고 통신사 결합 상품이나 디즈니플러스 등 타 플랫폼과의 제휴를 통해 생성된 ‘번들 연동 계정’까지 유출 범위에 대거 포함되었을 것으로 보고 있다.
• 법적 위반 여부: 개인정보보호법에 따르면 보유 목적이 달성된 개인정보는 지체 없이(5일 이내) 파기해야 한다. 만약 탈퇴·휴면 계정이 제대로 파기되거나 분리 보관되지 않은 채 한데 묶여 털린 것으로 확인되면, 과징금 산정 시 ‘위반의 중대성’이 가중되어 천문학적인 벌금을 부과받을 수 있다.

2. 해킹 인지부터 확인까지… 사흘간 이어진 ‘초기 대응 공백’

티빙 측의 사고 인지 시점과 당국 신고 과정에서도 매끄럽지 못한 의문점들이 제기되며 수사 결과에 이목이 쏠리고 있다.

• 신고서 내용의 불일치: 티빙이 과기정통부와 개인정보위에 각각 제출한 신고서상 ‘사고 최초 인지 시점’이 서로 다르게 기재된 것으로 확인됐다. 과기정통부에는 인지 시점을 5월 31일 오후 3시 9분으로 적었으나, 개인정보위 신고서에는 그보다 앞선 5월 30일 오후 4시 30분으로 명시했다.
• 72시간의 골든타임 유실: 더 큰 문제는 최초 인지 이후의 대응이다. 티빙 측은 최초 인지 시점에 이어 6월 2일 오전 6시 18분이 되어서야 ‘DB 저장 파일의 외부 전송 사실을 확인했다’고 별도 명시했다. 시스템에 비인가 접근이 있었다는 사실을 알고도, 실제로 데이터가 외부로 빠져나갔음을 최종 확인하기까지 사흘(72시간) 가까운 시간이 걸린 셈이다.
• 정부의 추적 인터뷰 예고: 민관합동조사단은 이 같은 공백이 발생한 경위를 집중적으로 들여다보고 있다. 과기정통부 관계자는 "기업이 자체적으로 시스템 오류인지 해킹인지를 파악하는 데 시간이 걸린 것으로 보인다"면서도, "최고정보보호책임자(CISO) 보고 경로 추적 인터뷰와 내부 보고자료 검토를 통해 단순한 기술적 지연이었는지, 아니면 내부 보고 체계상 은폐나 결함이 있었는지를 명백히 밝힐 예정"이라고 전했다.

3. 가입자·매출 늘리면서 보안 투자는 20% ‘칼질’

이번 대규모 해킹 사태의 근본 원인으로 티빙 경영진의 보안 경시 태도가 정조준되고 있다.

• 보안 예산의 역행: 한국인터넷진흥원(KISA)의 정보보호공시에 따르면, 티빙의 정보보호 투자액은 2022년 21억 9,667만 원으로 정점을 찍은 뒤 2023년 18억 3,940만 원, 2024년 17억 6,510만 원으로 매년 하락했다. 가입자와 매출은 급증하는 성장 가도를 달렸음에도 보안 예산은 오히려 2년 새 약 20%나 줄어든 것이다.
• 비임원급 책임자 체제의 한계: 보안 거버넌스 구조도 허술했다. 티빙은 최고정보보호책임자(CISO)와 개인정보보호책임자(CPO) 자리를 모두 임원급이 아닌 ‘비임원급’ 인사에게 맡기고 이마저도 겸직 체제로 운영해왔다. 보안 부서의 목소리가 경영진의 핵심 의사결정이나 대규모 예산 반영에 직접 전달되기 어려운 구조적 한계를 안고 있었던 셈이다.

4. ‘디지털 주민번호’ CI 유출… 9만 명 넘는 대규모 소송전 발발

유출된 개인정보 항목 중 온라인상의 주민등록번호 역할을 하는 연계정보(CI)가 포함되면서 이용자들의 공포와 분노는 극에 달하고 있다.

• 2차 피해 우려 심각: CI는 서비스 간 이용자를 식별하기 위해 생성되는 고유 값으로, 일반 개인정보와 달리 한 번 유출되면 변경이나 교체가 불가능하다. 해커들이 이를 확보해 기존에 돌아다니던 다른 유출 사고의 데이터(아이디, 휴대폰 번호 등)와 조합할 경우 정확한 신원 특정과 명의 도용, 보이스피싱, 금융 사기 등 정교한 2차 범죄에 악용될 위험이 매우 높다.
• 천문학적 손해배상 청구: 피해자들의 법적 대응도 빠르게 확산 중이다. 법무법인 지향에 따르면 티빙을 상대로 손해배상 청구 소송에 참여하겠다고 밝힌 원고 규모는 이미 9만 명을 돌파했다. 청구 금액은 원고 1인당 30만 원으로, 소송 규모만 수백억 원대에 이른다.

5. 야구 보려다 정보 털려… ‘프로야구 독점 효과’에 묻힌 보안 불감증

이처럼 유례없는 대형 해킹 사고가 터졌음에도 정작 티빙의 이용자 수는 줄어들기는커녕 오히려 늘어나는 기현상이 벌어지고 있다.

• WAU·MAU의 동반 폭발: 모바일인덱스에 따르면 6월 첫째 주(1~7일) 티빙의 주간 활성 이용자수(WAU)는 570만 6,203명으로, 직전 주 대비 오히려 20만 명가량 증가했다. 야구 시즌 전인 1월 첫째 주와 비교하면 50.2%나 급증한 수치다. 지난 5월 월간 활성 이용자수(MAU) 역시 전월 대비 100만 명 넘게 폭증한 881만 명을 기록하며 기존 OTT 2위인 쿠팡플레이(911만 명)를 턱밑까지 추격했다.
• KBO 독점 중계의 그늘: 보안 전문가들은 최근 대형 보안 사고가 잇따르면서 이용자들이 다소 둔감해진 탓도 있지만, 무엇보다 티빙이 확보한 ‘KBO(한국프로야구) 독점 중계권’이라는 독점적 콘텐츠의 힘이 이용자들의 이탈을 막고 있다고 분석한다. 개인정보 유출에 분노하면서도 야구 생중계를 보기 위해 앱을 지우지 못하는 악순환이 이어지는 구조다.

"이번 사태는 국내 대형 플랫폼사가 이용자들의 소중한 정보를 얼마나 가볍고 소홀하게 다뤄왔는지를 적나라하게 보여주는 부끄러운 사례입니다. 정부는 단순한 과징금 처벌에 그치지 말고, 거대 플랫폼 기업들이 보안 책임을 다하도록 강제하는 제도적 보완책을 마련해야 합니다." (국회 과방위 소속 이정헌 의원)

한편, 방송통신위원회는 이번 티빙 사태를 계기로 온라인 주민번호 격인 CI의 무분별한 유출을 막기 위해 ‘CI 암호화 및 주민등록번호 분리 보관 의무화’ 제도의 시행 시기를 당초 계획(2026년 5월)보다 4개월 앞당긴 2026년 1월부터 조기 시행하기로 결정했다.

1줄 요약 : 티빙에서 실제 활성 이용자 수를 크게 웃도는 1,953만 명의 대규모 개인정보(CI 포함) 유출 사고가 발생했으나 기업의 보안 투자 축소와 대응 지연이 드러나 공분을 사고 있으며, 법적 소송 확산 속에서도 프로야구 중계 효과로 이용자 수는 오히려 증가하는 기현상이 벌어지고 있습니다.