국내 최대 온라인동영상서비스(OTT) 플랫폼 티빙에서 사상 초유의 대규모 보안 침해 사고가 발생해 사실상 '모든 계정'인 약 3,954만 개의 이용자 정보가 유출된 것으로 3일 공식 확인됐다.
과학기술정보통신부(이하 과기정통부) 민관합동조사단은 2026년 9월 3일 정부서울청사에서 이번 사태의 조사 결과를 발표하며, 티빙의 기술 자산 361건(30.35GB)과 이용자 계정 약 3,954만 개가 유출됐다고 밝혔다. 이 중 로그인 가능한 활성화 계정이 2,206만 개, 비활성화(휴면·탈퇴) 계정이 1,737만 개, 테스트 계정이 11만 개에 달해 사실상 티빙의 '모든 계정'이 해킹된 것이나 다름없었다. 지난해 KT 개인정보 유출 사고 보상 쿠폰을 통해 가입한 이용자 정보 52만 7천 건 또한 유출 피해를 피하지 못했다.
유출된 개인정보는 아이디(CJ ONE 포함), 비밀번호(일방향 암호화), 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 총 20개 항목(70종)에 이른다. 특히 휴대전화번호와 이메일 주소는 암호화 키까지 함께 유출돼 '사실상 평문 노출'과 동일한 수준으로 판단되어 팬들에게 큰 충격을 안겼다.
사고의 원인은 티빙의 총체적인 보안 관리 부실로 지목됐다. 지난 5월 29일부터 31일에 걸쳐 개발자의 접속키 탈취는 물론, 소스코드 내 운영환경 접속키(43개)가 평문으로 노출(하드코딩)되었고, 심지어 데이터베이스(DB) 접속정보까지 평문으로 저장된 사실이 드러났다. 더욱 충격적인 것은 임직원 265명 중 정보보호 전담인력이 외주를 제외하고 4명 내외에 불과했으며, 2024년 모의해킹에서 지적된 하드코딩 취약점조차 개선되지 않은 채 방치됐다는 점이다.
티빙은 5월 31일 오전 10시 10분경 침해사고를 인지했음에도 불구하고, 24시간의 법정 신고 시한을 넘겨 6월 1일 오후 3시 8분에야 KISA에 신고했다. 이에 과기정통부는 정보통신망법에 따라 최대 3천만 원의 과태료를 부과할 예정이며, 임정규 과기정통부 정보보호네트워크정책관은 「티빙에 재발 방지 및 정보보호 강화 노력을 강력히 주문했다」고 밝혔다. 특히 9월 11일 개정 개인정보보호법(징벌적 과징금)과 10월 1일 개정 정보통신망법(이행강제금) 시행을 앞두고 있어 향후 더 강력한 제재가 가해질 수 있다는 전망이 나온다.
티빙 최주희 대표는 9월 3일 서울 광화문 코리아나호텔에서 열린 설명회에서 공식 사과하며 「2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 늘리고, 정보보안 전문 인력을 현재의 3배(9.4명→25~30명)로 확충하겠다」고 밝혔다. 또한 '제로 트러스트' 보안 체계 도입 등 구체적인 개선 방안을 제시하며 팬들의 신뢰 회복에 적극적으로 나서겠다고 다짐했다.
피해 이용자들을 위한 보상 패키지도 공개됐다. 티빙은 1년간 최대 300만원을 보장하는 안심 보험과 프리미엄급 시청 환경 업그레이드를 제공한다. 또한 5천원 상당의 티빙 포인트와 웨이브 광고형 1개월 이용권 또는 CGV 할인 쿠폰 중 택일(인당 약 2만원 상당)을 추가 보상으로 지급한다. 보상 신청은 9월 7일부터 30일까지이며, 10월 6일부터 적용된다. 탈퇴·휴면 계정 이용자도 재가입을 통해 보상받을 수 있다.
이번 티빙 사태는 국내 OTT 산업을 넘어 모든 디지털 서비스 제공 기업에 강력한 보안 경고를 던지고 있다. 콘텐츠 투자는 유지하겠다는 티빙의 의지와 정부의 강화된 정보보호 규제, 그리고 티빙의 대대적인 투자 약속이 실제적인 보안 강화와 이용자 신뢰 회복으로 이어질지 주목된다. 향후 이러한 대규모 침해 사고가 재발하지 않도록 끊임없는 노력이 필요하다는 시사점을 남겼다.
