솔직히 저는 설마 내 계정이겠냐 싶었습니다. 그런데 어느 날 이상 접속 시도 경고 알림이 뜨는 걸 보고 뉴스를 찾아봤더니, 티빙에서 395만 개에 달하는 계정 정보가 유출됐다는 소식이었습니다. 야구 중계와 예능을 보며 매달 꼬박꼬박 정기 결제를 해온 이용자 입장에서, 이번 사태의 원인과 대응을 들여다볼수록 허탈함보다 분노가 더 컸습니다.
보안 부실 — 해커보다 티빙 자신이 문제였다
이번 사태를 처음 접했을 때, 저는 당연히 엄청나게 정교한 해킹 기술이 동원됐을 거라고 생각했습니다. 그런데 정부 조사 결과를 보고 오히려 더 황당했습니다. 고도화된 공격 기법 때문이 아니라, 내부 보안 관리 체계가 통째로 무너져 있었기 때문입니다.
공격자가 침투에 활용한 건 탈취한 개발자 접속 크리덴셜(Credential)이었습니다. 여기서 크리덴셜이란 시스템에 접속하기 위한 계정 정보, 즉 아이디와 비밀번호 또는 접속 키를 뜻합니다. 문제는 티빙이 운영 서버 접근 키 43개를 암호화하지 않고 소스 코드 내부에 텍스트 파일 형태로 방치해 뒀다는 점입니다. 개발 환경에만 접근해도 운영 서버까지 뚫릴 수 있는 구조였던 셈입니다.
더 기가 막힌 건 2023년에 이미 모의 해킹(Penetration Test)을 통해 이 취약점이 발견됐다는 사실입니다. 모의 해킹이란 실제 공격자의 관점에서 시스템의 허점을 사전에 찾아내는 보안 점검 방식입니다. 지적을 받고도 2년 넘게 아무런 조치를 하지 않았습니다. 개발 인력 149명에 정보보호 전담 인력이 4명 내외였다는 구조 자체가, 수백만 명의 유료 가입자를 놓고 수익을 올리면서도 보안은 장식처럼 달아뒀다는 증거입니다.
- 운영 서버 접근 키 43개 — 소스 코드 내 평문(텍스트) 형태로 방치
- 고객 DB 접속 계정 정보 — 암호화 없이 보관
- 전화번호·이메일 — 암호화 복호화 키까지 함께 탈취되어 사실상 평문 노출
- 시스템 접속 기록(로그) 보관 — 기준 미달
- 2023년 모의 해킹 지적 사항 — 2년간 미개선
이건 해커에게 당한 게 아니라 스스로 문을 열어둔 것과 다름없습니다. 저는 이런 구조를 보면서 인재(人災)라는 표현이 이렇게 딱 맞아떨어지는 경우도 드물다고 느꼈습니다.
보상안 — 피해자에게 재가입을 요구하는 역설
이번에 유출된 항목은 이름, 생년월일, 아이디, 전화번호, 이메일 등 총 20개 항목에 달합니다. 활성 계정뿐 아니라 휴면 계정, 탈퇴 계정, 테스트 계정까지 사실상 플랫폼을 거쳐 간 모든 이용자의 데이터가 포함됐습니다. 게다가 유출 정보가 해외 서버로 전송된 만큼, 향후 금융 사칭 문자나 스미싱(Smishing) 피해로 이어질 가능성도 배제하기 어렵습니다. 스미싱이란 문자 메시지(SMS)를 통해 악성 링크나 허위 정보로 개인 정보를 가로채는 사기 수법입니다(출처: 개인정보보호위원회).
티빙이 발표한 보상 패키지는 인당 약 2만 원 수준입니다. 금융사기 안심보험 1년 무료, 프리미엄 시청 환경 업그레이드, 티빙 포인트 5,000원, 그리고 웨이브 1개월권 또는 CGV 할인 쿠폰 중 하나를 선택하는 구성입니다. 보상 신청은 7월 7일부터 30일까지 티빙 홈페이지 또는 모바일 앱을 통해 가능합니다.
제가 가장 이해하기 어려웠던 부분은 따로 있습니다. 이미 탈퇴한 회원도 보상 대상에 포함된다고 했는데, 정작 보상을 받으려면 재가입 절차를 거쳐야 한다는 조건이었습니다. 개인정보를 지키지 못한 기업이 보상을 미끼로 또 다시 개인정보를 입력하게 만드는 구조입니다. 이게 과연 피해자를 위한 보상인지, 이탈 회원을 끌어들이려는 마케팅인지 구분이 되지 않았습니다.
과태료는 늑장 신고를 이유로 최대 3천만 원이 부과됐고, 개인정보 유출에 따른 과징금은 개인정보보호위원회가 산정 중입니다. 새로 개정된 법이 적용될 경우 매출의 최대 10%까지 부과될 수 있습니다(출처: 국가법령정보센터). 제 경험상 솜방망이 처벌로 끝나는 선례가 반복될수록 다른 기업들의 보안 투자도 계속 뒷전으로 밀립니다. 이번만큼은 달랐으면 합니다.
개인정보 유출 — 지금 당장 해야 할 것들
이번 유출에서 비밀번호는 해시(Hash) 방식으로 암호화가 됐습니다. 해시란 원본 데이터를 복원할 수 없는 형태로 변환하는 단방향 암호화 기법입니다. 다만 전화번호와 이메일은 복호화 키까지 함께 탈취됐기 때문에, 사실상 원문 그대로 노출된 것과 같습니다. 비밀번호가 암호화됐다는 말만 듣고 안심하면 안 되는 이유가 바로 여기에 있습니다.
추가로 추천 검색 알고리즘과 결제 시스템 소스 코드가 포함된 개발 프로젝트 361건도 함께 유출됐습니다. 이 부분은 개인정보 피해와는 별개로 기업의 핵심 기술 자산이 통째로 빠져나갔다는 의미여서, 중장기적인 사업 피해도 적지 않을 것으로 보입니다.
제가 이번 사태를 접하고 가장 먼저 한 일은 비밀번호를 교체하는 것이었습니다. 특히 티빙과 같은 비밀번호를 다른 플랫폼에서도 쓰고 있었다면, 그 모든 서비스에서 즉시 바꿔야 합니다. 크리덴셜 스터핑(Credential Stuffing)이라는 공격 방식 때문입니다. 이는 유출된 아이디·비밀번호 조합을 다른 사이트에 대입해 로그인을 시도하는 수법으로, 비밀번호 재사용 습관이 있을 경우 피해가 연쇄적으로 번집니다. 지금이라도 점검해보시길 권합니다.
자주 묻는 질문
Q. 티빙 탈퇴했는데 제 정보도 유출됐나요?
A. 유출된 395만 개 계정에는 활성 계정뿐 아니라 휴면, 탈퇴, 테스트 계정까지 모두 포함됩니다. 과거에 티빙에 가입한 적이 있다면 유출 대상에 해당할 가능성이 높습니다. 티빙 앱 또는 홈페이지에서 개인정보 유출 여부를 확인해 보시길 권합니다.
Q. 보상 신청은 언제까지, 어떻게 하면 되나요?
A. 보상 신청 기간은 7월 7일부터 30일까지이며, 티빙 홈페이지 또는 모바일 앱을 통해 신청할 수 있습니다. 탈퇴 회원은 재가입 절차를 거쳐야 신청이 가능한데, 이 과정에서 개인정보를 재입력해야 한다는 점이 과연 적절한지 의문이 드는 부분입니다.
Q. 비밀번호가 암호화됐다는데, 정말 안전한 건가요?
A. 비밀번호 자체는 해시 방식으로 암호화됐지만, 전화번호와 이메일은 복호화 키까지 함께 유출돼 사실상 원문 그대로 노출된 상태입니다. 비밀번호 안전만 믿고 안심하기보다, 동일한 비밀번호를 쓰는 다른 플랫폼에서도 즉시 변경하는 것이 현실적인 대응입니다.
Q. 티빙에 부과되는 과징금은 얼마나 되나요?
A. 늑장 신고에 따른 과태료는 최대 3천만 원이 이미 부과됐습니다. 개인정보 유출에 따른 과징금은 개인정보보호위원회가 산정 중이며, 개정된 법이 적용될 경우 매출의 최대 10%까지 부과될 수 있어 규모가 상당히 커질 가능성이 있습니다.
결론
제가 이번 티빙 사태에서 가장 크게 느낀 건 분노보다 허탈함이었습니다. 정교한 해킹이 아니라, 이미 알고 있던 취약점을 방치한 결과라는 점이 더 충격적이었습니다. 개발 인력 150명에 전담 보안 인력 4명이라는 구조는, 수익이 나는 곳에 인력을 쏟고 보안은 최소한으로 유지해 온 운영 방식의 민낯입니다.
개인정보보호위원회가 이번에 법이 허용하는 가장 강력한 수준의 과징금을 부과해야 한다고 봅니다. 솜방망이 처벌로 마무리된다면, 다른 플랫폼들도 보안 투자를 미루는 악순환이 반복될 것입니다. 이용자 입장에서 지금 당장 할 수 있는 건, 비밀번호를 교체하고 출처 불명의 문자와 링크를 조심하는 것입니다. 사태가 수습되더라도 유출된 정보는 이미 해외 서버로 빠져나간 상태라는 점을 잊지 않는 것이 중요합니다.