오늘(2026년 9월 3일) 과학기술정보통신부 발표에 따르면 온라인동영상서비스(OTT) 티빙에서 무려 3,954만 개의 이용자 계정 정보와 핵심 기술 자산이 유출된 것으로 확인됐으며, '개발환경 접속키'부터 'DB 접속정보'까지 핵심 자산을 소스코드에 그대로 노출한 총체적 관리 부실이 이번 사태의 화근으로 지목됐다.
이번 유출 사태는 국내 OTT 역사상 최대 규모로 기록될 전망이다. 과기정통부 조사 결과, 활성화된 계정 2,206만 개를 포함해 비활성화 1,737만 개, 테스트 11만 개 등 총 3,954만 개의 계정과 361건(30.35GB)에 달하는 핵심 기술 자산이 유출됐다. 유출된 정보는 아이디, 비밀번호(일방향 암호화), 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)에 이른다. 특히 휴대전화번호와 이메일 주소는 암호화키 유출로 사실상 평문 유출과 동일한 수준인 것으로 알려져, 티빙 이용자들의 불안감은 극에 달하고 있다.
공격은 지난 5월 29일부터 31일 사이에 발생했다. 공격자는 개발자 '개발환경 접속키'를 탈취한 뒤, 소스코드 내에 하드코딩된 '운영환경 접속키' 43개를 확보하여 아마존웹서비스(AWS) 운영환경까지 침투하는 데 성공했다. 티빙은 접속키를 소스코드에 그대로 하드코딩하고, 데이터베이스(DB) 접속 정보를 암호화되지 않은 평문으로 저장하는 등 총체적인 보안 관리 부실을 드러냈다. 더욱 충격적인 사실은 2024년 모의해킹에서 이미 하드코딩 취약점이 발견되었음에도 불구하고 2년 가까이 개선 조치가 이뤄지지 않았다는 점이다. 전체 임직원 265명 중 정보보호 전담인력이 '4명 내외'에 불과했다는 점도 안일한 보안 인식을 방증한다. 5월 30일 1차 정보유출 시도는 차단했으나, 다음날 공격자가 가상서버를 생성해 결국 유출에 성공하는 반전까지 있었다.
티빙의 늑장 대응도 도마 위에 올랐다. 침해사고 인지 시점인 5월 31일 오전 10시 10분으로부터 24시간을 넘긴 6월 1일 오후 3시 8분에야 신고가 이뤄졌다. 과기정통부는 이에 최대 3천만 원의 과태료를 부과할 예정이다. 특히 이달 11일 시행되는 개정 개인정보보호법에 따라 티빙은 전체 매출액의 최대 10%까지 징벌적 과징금을 부과받을 가능성도 있어, 그 파장은 막대할 것으로 보인다.
임정규 과기정통부 정보보호네트워크정책관은 이번 사태의 심각성을 강조하며 재발 방지 대책을 강력히 요구하고 내년 1월부터 티빙의 이행점검을 시작할 계획이라고 밝혔다. 이번 티빙 사태는 단순한 개인정보 유출을 넘어 기업의 핵심 기술 자산까지 위협받은 심각한 보안 사고로 기록될 전망이다. 특히 안이한 보안 관리와 늑장 대응은 기업의 사회적 책임에 대한 경종을 울리며, 이달 시행되는 개정 개인정보보호법에 따라 더욱 강화될 사이버 보안 책임에 대한 기업들의 각성과 선제적 투자를 촉구하는 계기가 될 것으로 보인다.
