티빙에서 약 3,954만 개의 이용자 계정 정보와 소스코드가 포함된 기술자산 361건이 유출되는 대규모 침해 사고가 발생했습니다. 과학기술정보통신부 민관합동조사단은 2026년 9월 3일 정부서울청사에서 이번 사고에 대한 구체적인 조사 결과를 공식 발표했습니다. 유출된 계정에는 현재 서비스를 이용 중인 활성 계정뿐만 아니라 이미 서비스를 떠난 탈퇴 계정과 휴면 계정이 모두 포함되어 피해 규모가 매우 큽니다.
이번 사고는 지난 2026년 5월 29일 외부 공격자가 티빙 개발자의 개발환경 접속키를 탈취하면서 시작된 것으로 확인되었습니다. 공격자는 탈취한 키를 이용해 내부 개발 환경에 무단으로 침투했으며, 이 과정에서 개인정보를 암호화하는 암호화키까지 뚫린 것으로 드러났습니다. 정부 조사 결과 티빙의 전반적인 키 관리 부실이 이번 사태의 핵심 원인으로 지목되었으며, 유출된 정보는 해외 계정으로 유출된 것으로 파악되었습니다. 피해 대상에는 일반 가입자뿐만 아니라 케이티 보상쿠폰 가입자 52.7만 건까지 포함되어 논란이 되고 있습니다.
본문에서는 과학기술정보통신부가 발표한 정확한 유출 수치와 가입 방식별 피해 규모를 구체적으로 살펴봅니다. 어떤 개인정보 항목이 외부로 유출되었는지, 그리고 탈퇴나 휴면 상태의 계정이 왜 피해를 입었는지에 대해 분석합니다. 더불어 소스코드 유출이 갖는 기술적 위험성과 이용자가 현재 시점에서 취해야 할 보안 조치 및 주의 사항을 상세히 전달하겠습니다.
1. 티빙 계정 유출 규모와 가입 방식별 피해 현황
정부 조사 결과 티빙에서 유출된 전체 계정 수는 중복을 포함하여 총 3,954만 개에 달하는 것으로 확인되었습니다. 가입 방식별로 살펴보면 소셜미디어 간편 가입 계정이 2,247만 개로 가장 많은 비중을 차지하고 있습니다. 이어 시제이원 통합회원 계정이 863만 개, 티빙 자체 가입 계정이 726만 개 순으로 유출 피해가 발생했습니다. 이는 티빙의 거의 모든 가입자 정보가 사실상 외부로 노출되었음을 의미하는 심각한 수준입니다.
계정의 상태에 따른 상세 분석 결과, 로그인이 가능한 활성 계정이 2,206만 개로 가장 많았습니다. 또한 사용하지 않는 휴면 계정 850만 개와 이미 서비스를 탈퇴한 계정 887만 개, 그리고 테스트용 계정 11만 개가 모두 유출 대상에 포함되었습니다. 특히 탈퇴한 이용자의 정보까지 그대로 남아 있다가 유출되었다는 점이 이번 사건의 큰 문제로 지적되고 있습니다.
이용자들은 자신이 과거에 티빙을 이용했다가 탈퇴했더라도 이번 티빙 계정 유출 사고의 피해자가 되었을 가능성이 있습니다. 단순한 서비스 이용 여부와 상관없이 가입 이력이 있는 모든 데이터가 공격 대상이 되었기 때문입니다. 따라서 현재 이용자뿐만 아니라 과거 가입자들도 개인정보 도용 여부를 주의 깊게 살펴야 합니다.
2. 유출된 개인정보 항목과 기술 자산 피해 내용
티빙, 해킹사고로 3954만 계정 정보 유출…암호화키도 뚫려
이번 사고로 유출된 구체적인 개인정보 항목은 성명, 생년월일, 휴대전화번호, 이메일 주소, 그리고 연계정보인 씨아이 등이 포함되었습니다. 단순한 아이디 수준을 넘어 실생활에서 본인 인증에 사용되는 핵심적인 개인 식별 정보들이 대량으로 빠져나간 상태입니다. 특히 암호화키까지 함께 유출되면서 보안 체계가 무력화되었다는 점에서 피해의 심각성이 더욱 큽니다.
개인정보뿐만 아니라 티빙의 핵심 기술 자산인 소스코드가 포함된 프로젝트 361건이 외부로 유출되었습니다. 소스코드는 서비스의 동작 원리와 보안 로직이 담긴 설계도와 같아서, 이를 탈취한 공격자가 추가적인 취약점을 찾아내어 2차 공격을 감행할 위험이 매우 높습니다. 이는 단순한 정보 유출을 넘어 기업의 기술적 경쟁력과 시스템 안정성에 직접적인 타격을 주는 결과입니다.
다행히 소셜미디어 간편 가입을 이용한 경우, 티빙에 전달된 이름과 이메일 정보만 유출되었으며 네이버나 카카오 등 외부 플랫폼 자체의 정보에는 영향이 없는 것으로 확인되었습니다. 하지만 유출된 이메일 주소와 전화번호가 스팸 메시지나 피싱 공격의 표적으로 활용될 가능성이 매우 높으므로 각별한 주의가 필요합니다.
3. 침해 사고의 구체적인 원인과 보안 관리 부실
공격자는 티빙 개발자가 사용하던 개발환경 접속키를 외부에서 탈취하여 내부 시스템에 무단으로 침투했습니다. 이러한 접속키는 시스템 관리 권한을 가지는 일종의 마스터키 역할을 하기에, 이것이 털리면서 내부의 방어벽이 무용지물이 되었습니다. 정부 조사단은 티빙의 키 관리 체계가 전반적으로 부실했음을 지적하며, 보안 관리상의 허점이 이번 대규모 유출을 야기했다고 분석했습니다.
비슷한 시기에 발생한 쿠팡의 사례와 비교해 보면, 두 기업 모두 키 관리 부실이라는 공통적인 문제를 가지고 있었습니다. 쿠팡의 경우 퇴사자의 계정과 서명키 관리 소홀로 인해 로그인 절차가 우회되는 사고가 발생했으며, 티빙은 개발 환경의 접속 권한 관리가 제대로 이루어지지 않았습니다. 특히 암호화키까지 함께 유출된 점은 데이터 보호를 위한 최후의 보루마저 무너졌음을 보여줍니다.
보안 전문가들은 개발 환경과 운영 환경을 엄격히 분리하고 접속키의 주기적인 변경과 엄격한 권한 제어가 필요하다고 강조합니다. 하지만 티빙은 이러한 기본 원칙이 제대로 지켜지지 않아 공격자가 손쉽게 내부로 들어와 방대한 양의 데이터를 외부로 빼낼 수 있었습니다. 이는 단순한 해킹 사고를 넘어 예견된 인재였다는 비판을 피하기 어려운 대목입니다.
4. 2차 피해 방지를 위한 이용자 대응 방안
티빙 계정 유출 사실을 확인한 이용자들은 가장 먼저 티빙 서비스의 비밀번호를 변경하고, 동일한 비밀번호를 사용하는 다른 사이트의 정보도 함께 바꾸는 것이 안전합니다. 유출된 항목에 휴대전화번호와 이메일 주소가 포함되어 있어, 이를 이용한 정교한 스미싱이나 피싱 메일이 발송될 가능성이 매우 큽니다. 특히 티빙 고객센터를 사칭하여 보상 절차를 안내한다며 특정 링크 클릭을 유도하는 수법에 주의해야 합니다.
의심스러운 로그인 시도가 있는지 계정 접속 기록을 수시로 확인하고, 가능한 경우 2단계 인증 설정을 활성화하여 보안 수준을 높여야 합니다. 탈퇴 계정 사용자 역시 본인의 개인정보가 여전히 서버에 남아 있었음이 증명된 만큼, 다른 서비스에서도 탈퇴 후 정보 파기 여부를 확인하는 습관이 필요합니다. 모르는 번호로 오는 문자 메시지의 링크는 절대 클릭하지 말고 공식 경로를 통해 사실 여부를 확인하십시오.
개인정보 유출로 인한 실질적인 금전적 피해나 명의 도용이 의심된다면 즉시 관련 기관에 신고하고 조치를 받아야 합니다. 유출된 정보가 해외 계정으로 흘러 들어갔다는 정부 발표가 있었으므로, 다크웹 등을 통한 정보 거래 가능성도 배제할 수 없습니다. 평소보다 많은 인증 요청 문자가 오거나 알 수 없는 로그인이 발생한다면 즉시 계정 잠금 조치를 취하는 것이 바람직합니다.
5. 정부의 조사 결과 및 향후 책임 규명 방향
과학기술정보통신부 민관합동조사단은 이번 티빙 침해 사고가 단순한 외부 공격이 아니라 내부의 관리 부실이 결합된 결과라고 판단하고 있습니다. 유출된 정보가 해외 계정으로 유출된 경위와 구체적인 피해 범위에 대해서는 현재 수사가 계속 진행 중이며, 결과가 나오는 대로 추가 발표가 있을 예정입니다. 정부는 이번 사건을 매우 엄중하게 보고 있으며 책임 소재를 명확히 가릴 방침입니다.
일각에서는 기업 대표를 호출하여 책임을 묻는 방식의 대응보다는 실질적인 피해 보상안 마련과 강력한 재발 방지 대책 수립이 우선되어야 한다고 주장합니다. 특히 탈퇴한 이용자의 정보를 파기하지 않고 보관하다가 유출시킨 점은 개인정보 보호법 위반 소지가 크기 때문에 이에 대한 법적 책임 공방이 예상됩니다. 기업의 보안 불감증이 가져온 대규모 피해인 만큼 강력한 행정 처분이 필요하다는 목소리가 높습니다.
이용자들은 향후 티빙 측에서 제시할 보상안과 구체적인 피해 확인 방법을 꼼꼼히 살펴야 합니다. 이번 티빙 계정 유출 사고는 국내 OTT 서비스 전반의 보안 수준을 점검하는 계기가 되어야 하며, 이용자의 소중한 정보가 기업의 편의에 의해 방치되지 않도록 제도적 장치가 강화되어야 합니다. 정부의 최종 수사 결과와 그에 따른 후속 조치에 계속해서 관심을 가질 필요가 있습니다.
