티빙, 1인당 체감 2만원 보상…탈퇴·휴면 이용자도 포함(종합) 작성일 09-03 49 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Khk6df5TTD"> <figure class="figure_frm origin_fig" contents-hash="d12fcf5f20cf09357aa38cf12450409cc919764681a33f668d07af1d030dffa0" dmcf-pid="9lEPJ41yTE" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/552796-pzfp7fF/20260903185756457cyif.jpg" data-org-width="640" dmcf-mid="b9zvXhLxWw" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/552796-pzfp7fF/20260903185756457cyif.jpg" width="658"></p> </figure> <p contents-hash="925fd0725f3b4f276505ad3a0d6e5db28e3b2c69f4dcd6a26a03cf5a99a3c7ed" dmcf-pid="2R2H3WAiCk" dmcf-ptype="general">[디지털데일리 정혜승기자] 온라인동영상서비스(OTT) 티빙에서 중복을 포함해 3954만개에 달하는 계정 정보가 유출됐다. 티빙은 공식 사과하고 정보보호 혁신 방안과 고객 보상 계획을 내놨다.</p> <p contents-hash="c5ca4c3cd138a99171c3efef0f0df11a3539f781595a31f313ac51cecf940ad2" dmcf-pid="VeVX0YcnTc" dmcf-ptype="general">3일 정부 민관합동조사단은 티빙 침해사고 조사 결과를 발표했다. 같은날 티빙 서울 코리아나호텔에서 설명회를 열고 고객 보상안을 공개했다.</p> <p contents-hash="26f83649fec264026624dc0136248bb464ca688e9d747782c382113de5a02281" dmcf-pid="fdfZpGkLlA" dmcf-ptype="general"><strong>◆ 유출 계정 중복 포함 3954만개…첫 공격 잡고도 오판</strong></p> <p contents-hash="710c9e574af3cc6b56286a36db8fe0f9a8f03a2b7a2d3cb440e48943e356bf72" dmcf-pid="4J45UHEoSj" dmcf-ptype="general">과학기술정보통신부에 따르면 이번 사고로 확인된 유출 계정은 중복 포함 총 3954만697개다. 로그인이 가능한 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 휴면·탈퇴 계정만 약 1737만개로 전체의 44%에 달한다.</p> <p contents-hash="c4e8dc77e77d550d1438b372a5271e35ea1378b14e4013c02b41ef2cf8d2efcc" dmcf-pid="8i81uXDgSN" dmcf-ptype="general">이는 실제 이용 규모와 큰 차이가 있다. 모바일인덱스 기준 8월 티빙 월간활성이용자(MAU)는 약 815만명이다. 중복계정이 이용자 산출이 달리 된 것으로 풀이된다. 실제 1명이 최대 13개 계정을 보유한 사례도 있다. 티빙 자체가입과 CJ ONE 통합회원, 네이버·카카오·애플 등 SNS 간편가입으로 가입경로가 다양했던 탓이다.</p> <p contents-hash="4c7333eb7d057d4246e106253d7ab7d61b9df834665b95c0909831800ced6041" dmcf-pid="6n6t7ZwaCa" dmcf-ptype="general">다만 정부가 중복 여부를 확인할 수 있었던 것은 개인식별정보(CI) 보유 계정이 있어서다. CI 보유 계정은 중복을 제거하면 약 1323만개로, 이 가운데 휴면 계정이 370만개, 탈퇴 계정이 5만개다. 반면 CI가 없는 약 2040만개 계정은 중복 여부를 확인하기 어렵다.</p> <p contents-hash="372761a88dc98e66a9bc82d3e9c4f2ec3db523077baef2bfd087574a3359bf12" dmcf-pid="PLPFz5rNTg" dmcf-ptype="general">이 때문에 정확한 피해자 수는 아직 불명확하다. 기존에 알려진 1953만명은 티빙이 자체적으로 중복을 제거해 개인정보보호위원회에 신고한 수치로 정부가 검증한 최종 피해자 수는 아니다. 최종 규모는 개인정보위 조사에서 가려질 전망이다.</p> <p contents-hash="95893576d7937da832d4f3de8abbe25e20ff16fa68b9eedd767b90c7f3eacc19" dmcf-pid="QoQ3q1mjvo" dmcf-ptype="general">유출 정보는 ID·이름·휴대전화번호·이메일·생년월일·CI·DI·환불계좌·결제이력 등 20개 항목 70종이다. 휴대전화번호와 이메일 일부는 암호화됐지만 암호화키도 함께 유출돼, 조사단은 사실상 평문 유출과 같은 수준으로 봤다. 다만 티빙 계정이 유출됐다고 해서 네이버·카카오 등 SNS 사업자가 보유한 정보까지 유출된 것은 아니라고 정부는 선을 그었다.</p> <p contents-hash="d5995ab55bd922e4805df6f9ba23bb69a668640e09f699b249bf327d63a392c7" dmcf-pid="xBtmSDx2TL" dmcf-ptype="general">공격은 개발자의 접속키 탈취에서 시작됐다. 공격자는 지난 5월 29일 개발환경에 침투해 개발 프로젝트 361건을 유출한 뒤, 소스코드에 저장된 운영환경 접속키를 확보했다.</p> <p contents-hash="f1a4e91f264ba5592393b4f245cb9e1e03f7b8b96193746c48a71396dc2df137" dmcf-pid="ywoK6qyOSn" dmcf-ptype="general">5월 30일 첫 유출 시도에서 데이터베이스(DB) CPU 이용률이 100%까지 치솟는 이상징후가 발생했고 티빙이 이를 차단했지만, 해킹으로 판단하지 못해 추가 조치를 하지 않았다. 공격자는 이튿날 다른 접속키로 재침투해 약 24GB의 이용자 정보를 해외 서버로 빼냈다.</p> <p contents-hash="f8ddadce9dc397db8873505d71ceb35afb17dc104430d3850dab4467692132b3" dmcf-pid="Wrg9PBWITi" dmcf-ptype="general"><strong>◆ 티빙 "겸허히 수용"…최주희 대표 사과</strong></p> <p contents-hash="caf19df8e7ea560fe96c59d5b85916d073c1db19e300ac17d92e02fdbc27b2f4" dmcf-pid="Yma2QbYCyJ" dmcf-ptype="general">최주희 티빙 대표는 이날 설명회에서 "이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"고 밝혔다. 이어 "민관합동조사단의 조사 결과를 겸허히 수용한다"며 "고객 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다"고 말했다.</p> <p contents-hash="86a42568bed4db578ffd50734824d9012840706a0cc1cca14d45cb484ca8323c" dmcf-pid="GsNVxKGhyd" dmcf-ptype="general">정부는 이번 유출의 배경으로 티빙의 보안통제 부실을 지목했다. 접속키를 소스코드와 개발자 단말기에 평문으로 저장하고 일부는 사내 메신저로 공유했으며, 모든 개발자가 361개 프로젝트 전체에 접근할 수 있는 구조였다. 특히 티빙은 2024년 모의해킹에서 접속키가 소스코드에 하드코딩된 취약점을 발견하고도 개선하지 않은 것으로 나타났다.</p> <p contents-hash="f6f600b24d391069244c451cf651f812e45cd711d8f9b3ac6ac3f3797efb8e89" dmcf-pid="HOjfM9Hlhe" dmcf-ptype="general">이에 대해 티빙은 "당시 모의해킹 대상에는 이번 사고와 관련된 프로젝트가 없었다"며 "이후 서비스 변화 과정에서 접속키를 쓰는 프로젝트를 인계받아 개선 작업을 진행 중이었으나 완료 전에 공격이 발생했다"고 설명했다.</p> <p contents-hash="1b517a66b0a835c16181f49ff7a8045dfdff8050ca33789f2e8c0f404ca91007" dmcf-pid="XIA4R2XSCR" dmcf-ptype="general">침해사고 신고도 법정기한을 넘겼다. 조사단은 사고 인지 시점을 5월31일 오전 10시 10분으로 봤지만, 티빙은 경영진 보고와 대응 태스크포스(TF)가 가동된 오후 3시 9분을 인지 시점으로 봤다. 이 차이로 약 5시간의 시차가 생겼다. 과기정통부는 정보통신망법에 따라 최대 3000만원의 과태료를 부과할 예정이다.</p> <p contents-hash="1b856d597e5b4ff03572325a032467013579200babe0bfa1f2110183baa27c82" dmcf-pid="ZCc8eVZvTM" dmcf-ptype="general"><strong>◆ 보상 패키지, 1인당 체감 2만원…탈퇴자는 재가입해야</strong></p> <p contents-hash="57108e1ee2174ccfb93d0c11bc787d8a8f8dd1fe444c59ec0a897be6fd439bec" dmcf-pid="5K3OTrRfhx" dmcf-ptype="general">티빙은 유출 고객에게 동일한 보상 패키지를 제공한다. 유출 정보 종류나 피해 정도에 따른 차등 보상은 하지 않는다. 패키지는 해킹·피싱 안심보험, 프리미엄급 시청환경 업그레이드, 티빙 포인트, 엔터테인먼트 쿠폰으로 구성된다.</p> <p contents-hash="7895056a7a8ad3c0624e8be8cd514dd2c9d88f751ddc25d1e337fc183ec27c1a" dmcf-pid="190Iyme4CQ" dmcf-ptype="general">안심보험은 1년간 제공된다. 해킹·피싱에서 비롯된 사이버 금융사기는 물론 인터넷 쇼핑몰 사기, 개인 간 직거래 사기까지 1인당 최대 300만원을 보상한다. 별도 신청 없이도 계정이 프리미엄급 시청환경으로 업그레이드된다. 여기에 5000원 상당 티빙 포인트와, 웨이브 AVOD 1개월(5500원)·CGV 콤보 5000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 준다.</p> <p contents-hash="b9142b1d719abe148c007baa7c6bfd0c344069ca2f140e0d14200dfc49578639" dmcf-pid="t2pCWsd8CP" dmcf-ptype="general">보상 신청은 오는 7일부터 30일까지 받고, 패키지는 10월 6일부터 적용된다. 티빙은 보상 패키지의 1인당 체감 가치를 약 2만원으로 추산했다.</p> <p contents-hash="81504c6e83f20718907f5b7da3a12ed4f73e91f4dffa6e626e75fcf74380d881" dmcf-pid="FVUhYOJ6C6" dmcf-ptype="general">탈퇴·휴면 이용자도 보상 대상에 포함된다. 다만 보상이 티빙 서비스를 통해 제공되는 구조라 탈퇴자는 재가입이 필요하다. 유료 구독을 다시 할 필요는 없다. 이번 보상과 별개로 법적 배상이나 과징금은 향후 조사 결과에 따라 별도로 책임진다는 입장이다.</p> <p contents-hash="84c39c602974607f6d783710c9581ec405b428f649d91e4226ecd22b0864b095" dmcf-pid="3fulGIiPh8" dmcf-ptype="general"><strong>◆ 정보보호 투자 4배·인력 3배로</strong></p> <p contents-hash="9a4a4d59aa9befdb91da276a737f926a6e85d9c376611c07709d0c9e4aef37c8" dmcf-pid="047SHCnQl4" dmcf-ptype="general">티빙은 재발방지를 위한 4대 전략도 내놨다. 정보보호 투자·인력 확대, 제로 트러스트 기반 보안 체계 재구축, 조직 거버넌스 재정립, 외부 협력을 통한 전문성 강화다.</p> <p contents-hash="bc734e48ba9566aeaddaba71deb737a30bb369552e9401915032817763fd2278" dmcf-pid="p8zvXhLxTf" dmcf-ptype="general">정보보호 투자는 2030년까지 직전 5년 대비 약 4배로 늘린다. 지난해 약 25억원, 올해 약 30억원 수준을 2030년 연 100억~120억원까지 끌어올린다는 계획이다.</p> <p contents-hash="8c32ac068fda7ac80ec7a6f07daa9f772bbb4de64693d663b8cff03cd05468ad" dmcf-pid="U6qTZloMCV" dmcf-ptype="general">보안 인력도 향후 5년간 현재의 3배로 확충한다. 현재 내부·외부 합쳐 약 10명 수준이나 5년간 25~30명까지 늘린다. 올해 말까지는 내부 인력을 10명 수준으로 확대한다.</p> <p contents-hash="00973dbd78382e13084d658207c79e602a25763ef3d050b4b0da2be1c10577ef" dmcf-pid="uq1rlEQ9v2" dmcf-ptype="general">인증·접근 통제를 매번 검증하는 제로 트러스트 원칙도 고도화한다. 최소 권한 원칙에 따라 직무와 목적에 맞는 범위에서만 권한을 부여하고, 내부 침해를 전제로 시스템과 네트워크를 분리 차단한다.</p> <p contents-hash="ac50812a7b9f9a381133e0baf541da00e9ebf4511e145fd09d342288bc6259ad" dmcf-pid="7BtmSDx2S9" dmcf-ptype="general">거버넌스는 최고경영자(CEO)·최고정보보호책임자(CISO)·최고개인정보보호책임자(CPO) 체계 아래 실무 보안협의체를 신설한다. CEO 직속 '정보보호혁신 자문위원회'도 발족한다. 총 4명으로 구성하며 현재 3명을 위촉했다.</p> <p contents-hash="7368c4313b9a732f6c9c466677769779a4414343beea7687f5e8aa53b2f327f2" dmcf-pid="zbFsvwMVCK" dmcf-ptype="general">한편 과기정통부는 이달 중 티빙으로부터 재발방지 이행계획을 제출받아 10~12월 개선 조치를 확인하고, 내년 1월부터 이행점검에 나설 예정이다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 CO₂보다 6000배 강력한 반도체 온실가스…'무질서의 힘'으로 분해 09-03 다음 티빙 3954만개 계정 유출…이름·비번·휴대전화 번호 등 20개 항목 털렸다 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
