읽을거리
티빙은 2024년에 이미 알았다: 국감이 물어야 할 건 '누가 미뤘나'
2024년 모의해킹에서 찾은 하드코딩 취약점을 그대로 두고 3954만 계정이 유출됐습니다. 10월 6일 국감에서 나와야 할 답과 구독자가 지금 할 일을 정리했습니다.
가격을 마지막으로 읽은 날 2026-10-02
핵심 답변
정부 조사 결과, 티빙은 2024년 모의해킹에서 개발·운영 환경 접속키가 소스코드에 그대로 들어 있는 취약점을 확인하고도 고치지 않았습니다. 이 접속키 관리 부실이 약 3954만 계정 유출의 핵심 원인이었습니다.과학기술정보통신부 민관합동조사단은 9월 3일 조사 결과를 발표하면서 사고의 핵심 원인을 '개발·운영 환경 접속키 관리 부실'로 지목했습니다. 티빙은 개선 작업을 진행하던 중 공격을 받았다고 해명했습니다(이투데이 보도). 하지만 '왜 그 작업이 2년 가까이 끝나지 않았는가'에는 아직 답이 없습니다. 소비자주권시민회의는 9월 30일 이 질문을 10월 6일 과방위 국정감사의 핵심으로 꼽았습니다.출처: 바이라인네트워크: 티빙 침해사고 민관합동조사단 조사 결과 · 2026-10-02; 이투데이: 티빙 유출 관련 보도 · 2026-10-02; 신문고뉴스: 소비자주권시민회의, 티빙 국감 관련 성명 · 2026-10-02
정부 조사가 확인한 것: 키가 코드 안에 있었다
바이라인네트워크가 정리한 조사단 발표에 따르면, 공격자는 5월 29일 탈취한 개발자 접속키로 개발 환경에 들어가 개발 프로젝트 361건(30.35GB)을 빼냈습니다. 문제는 이 소스코드 안에 운영 환경 접속키까지 들어 있었다는 점입니다. 공격자는 5월 30일 운영 접속키 두 개로 AWS 인프라와 회원 DB에 접근했고, 6월 1일까지 약 24GB의 개인정보를 해외 서버로 옮겼습니다. 조사단은 2024년 모의해킹에서 이 하드코딩 취약점을 확인하고도 개선하지 않았다고 밝혔습니다. 이런 관리 방식이 현행 정보보호 관리체계(ISMS) 인증 기준에도 어긋난다고도 지적했습니다.
출처: 바이라인네트워크: 티빙 침해사고 민관합동조사단 조사 결과 · 2026-10-02
피해 규모도 큽니다. 머니투데이에 따르면 유출 계정은 활성 계정 2206만 개, 비활성 계정 1737만 개(휴면 850만·탈퇴 887만), 테스트 계정 11만 개입니다. '온라인 주민등록번호'로 불리는 연계정보(CI)도 유출 항목에 포함됐습니다. 다만 뉴스스페이스가 지적했듯 계정 수와 실제 피해자 수는 다릅니다. 3954만은 중복을 포함한 계정 기준 숫자입니다.
출처: 머니투데이: '4000만 개인정보 유출' 티빙·CJ ENM 대표, 내달 국감 증인 소환 · 2026-10-02; 뉴스스페이스: 티빙 유출 관련 보도 · 2026-10-02; 신문고뉴스: 소비자주권시민회의, 티빙 국감 관련 성명 · 2026-10-02
이용자들의 개인정보를 저장하는 데이터베이스(DB)에 인가되지 않은 접근이 이루어져 개인정보가 유출된 정황을 확인했다
티빙 홈페이지 공지(2026년 6월 3일), 바이라인네트워크 보도 인용출처: 바이라인네트워크: 티빙 홈페이지 공지 보도 · 2026-10-02
위 문장은 티빙이 6월 3일 홈페이지 공지에서 직접 쓴 표현입니다. 티빙의 약관·개인정보처리방침 원문은 페이지가 스크립트로 불러와지는 구조라 오늘 본문을 직접 확인하지 못했습니다. 그래서 회사가 공식적으로 남긴 문장을 보도를 통해 인용했습니다. 이 공지는 사고를 '외부의 인가되지 않은 접근'으로 설명합니다. 정부 조사는 그 접근이 가능했던 이유가 2024년부터 알려진 내부 관리 부실이었다고 봤습니다. 두 설명 사이의 간극이 이번 국감의 쟁점입니다.
출처: 바이라인네트워크: 티빙 홈페이지 공지 보도 · 2026-10-02; 바이라인네트워크: 티빙 침해사고 민관합동조사단 조사 결과 · 2026-10-02
265명 중 4명: 소비자단체가 '경영 판단'을 문제 삼는 이유
조사단에 따르면 티빙 임직원은 265명, 개발 인력은 149명이었습니다. 반면 외주를 뺀 정보보호 전담 인력은 4명 안팎이었습니다. 조사단은 이 인력으로 상시 보안관제와 취약점 점검을 해내기에는 한계가 있었을 것으로 판단했습니다. 이투데이에 따르면 티빙은 외주 약 5명을 포함해 9.4명(풀타임 환산)이라고 공시했습니다. 소비자주권시민회의는 기술적 원인 확인에 그치지 말고 내부 관리 체계와 경영진 책임을 분명히 밝혀야 한다고 요구했습니다. 국감 증인으로는 최주희 티빙 대표와 윤상현 CJ ENM 대표가 채택됐습니다.
출처: 바이라인네트워크: 티빙 침해사고 민관합동조사단 조사 결과 · 2026-10-02; 이투데이: 티빙 유출 관련 보도 · 2026-10-02; 신문고뉴스: 소비자주권시민회의, 티빙 국감 관련 성명 · 2026-10-02; 머니투데이: '4000만 개인정보 유출' 티빙·CJ ENM 대표, 내달 국감 증인 소환 · 2026-10-02
제 생각에 이번 사고는 '해커가 대단했다'는 이야기가 아닙니다. 회사가 숙제를 미룬 이야기입니다. 모의해킹은 돈을 들여 약점을 미리 찾는 일이고, 찾은 뒤에 고치지 않으면 그 보고서는 공격 지도가 되어 버립니다. 하드코딩된 키를 빼는 작업은 보안 업계에서 기본 위생에 가깝습니다. 그런 작업이 1년 넘게 '진행 중'이었다면 개발자 한 명의 실수로 보기 어렵습니다. 우선순위를 정하는 쪽, 그러니까 예산과 인력을 쥔 경영진의 결정 문제입니다. 콘텐츠 투자 경쟁에는 아낌없이 쓰면서 보안 전담 인력은 한 자릿수에 머문 OTT라면, 구독자의 데이터가 회사 안에서 몇 순위였는지는 분명해 보입니다.
10월 6일 국감에서 나와야 할 세 가지 답
국감이 받아내야 할 답 (필자 제안)
- 2024년 모의해킹 보고서를 누가 받았고, 하드코딩 키 제거를 언제까지 끝내기로 했나
- 그 일정이 왜 미뤄졌고, 미루기로 한 결정에 경영진이 관여했나
- 보안 전담 인력과 예산을 늘리지 않은 판단의 근거는 무엇이었고, 앞으로 구체적으로 무엇을 바꾸나
조사단은 티빙에 접속키 관리 강화, 접근 통제, 데이터 반출 실시간 탐지 등 재발 방지 조치를 요구했습니다. 이행 여부는 10~12월에 점검하고 2027년 1월부터 본격 확인할 예정입니다. 신고 지연에는 과태료 최대 3000만 원이 부과됩니다. 티빙은 5월 31일 오전 10시 10분에 사고를 인지했지만, 다음 날 오후 3시 8분에야 KISA에 신고해 24시간 기한을 넘겼습니다. 바이라인네트워크에 따르면 9월부터 시행된 강화된 제재 규정은 5월 사고에 소급 적용되지 않습니다.
출처: 바이라인네트워크: 티빙 침해사고 민관합동조사단 조사 결과 · 2026-10-02; 이투데이: 티빙 유출 관련 보도 · 2026-10-02
과태료 3000만 원은 계정 3954만 개 기준으로 계정당 1원에도 못 미칩니다. 그래서 행정 제재보다 국감 증인석의 답변이 더 중요하다고 봅니다. '진행 중이었다'는 해명이 다시 나온다면, 국회는 그 진행표부터 요구해야 합니다.
구독자가 지금 할 일
- 티빙 비밀번호 바꾸기티빙은 공지에서 비밀번호 변경을 권고했습니다. 대문자·소문자·숫자·특수문자를 섞고 길이를 늘리라고도 안내했습니다. 비밀번호는 단방향 암호화된 상태로 유출됐다고 밝혔지만, 바꿔 두는 편이 안전합니다.
- 같은 비밀번호를 쓰는 다른 서비스도 바꾸기티빙은 같은 계정 정보를 쓰는 다른 서비스의 비밀번호도 변경하라고 권고했습니다. 이메일·쇼핑·금융 계정부터 먼저 바꾸세요.
- 티빙을 사칭한 연락 경계하기유출 항목에는 이름·생년월일·휴대폰 번호(일부 암호화)·이메일(일부 암호화)·CI 등이 포함됐습니다. 이런 정보를 아는 척하며 보상이나 환불을 미끼로 접근하는 문자·전화는 링크를 누르지 말고 공식 앱에서 직접 확인하세요.
출처: 뉴시스: 티빙, 회원 개인정보 어떻게 빠져나갔나 · 2026-10-02; 바이라인네트워크: 티빙 홈페이지 공지 보도 · 2026-10-02
보상 선택은 따로 정리했습니다
보험·포인트 등 보상안 비교는 SlotPrices의 기존 티빙 보상 기사에서 다뤘습니다. 이 글은 '왜 안 고쳤나'라는 책임 문제에 집중합니다.
(선택) 티빙 이용권 판매처 보기: 판매자 목록이며, 공식 구매 경로나 추천을 뜻하지 않습니다.. 이 링크에는 파트너 코드 Sk52g가 붙어 있어, 이 링크로 구매하면 이 사이트를 통한 구매로 집계됩니다. 프로모션 코드 UPD3S.
출처 (2026-10-02 확인)