IT · DATA BREACH

탈퇴한 계정 887만 개가
아직 살아 있었습니다

티빙에서 3,954만 계정이 유출됐습니다. 그런데 숫자를 뜯어보면 절반 가까이가 이미 서비스를 떠난 사람들의 것이었습니다. 그리고 회사는 2024년에 이미 그 취약점을 알고 있었습니다. 지금 무엇을 해야 하는지까지 정리했습니다.

2026년 9월 4일 확인 · 약 10분 분량

저는 티빙을 몇 년 전에 탈퇴했습니다. 그래서 이번 뉴스를 처음 봤을 때는 남의 일이라고 생각했습니다. 그런데 유출 계정 구성을 보고 생각이 바뀌었습니다.

탈퇴 계정 887만 개. 저처럼 이미 떠난 사람들의 정보가 그대로 남아 있다가 함께 털린 겁니다.

개인정보 유출 뉴스는 이제 놀랍지도 않습니다. 숫자만 커질 뿐 패턴이 늘 비슷하거든요. 그래서 저도 헤드라인만 보고 넘길 뻔했습니다.

그런데 이번 건은 두 가지가 걸렸습니다. 이미 떠난 사람들의 정보가 절반 가까이였다는 것, 그리고 회사가 그 구멍을 2년 전부터 알고 있었다는 것입니다.

무슨 일이 있었을까요

공격자가 접속키를 이용해 개인정보를 빼냈습니다. 개발·운영 환경에 들어갈 수 있는 열쇠가 노출돼 있었고, 그걸 그대로 쓴 겁니다. 계정 정보뿐 아니라 개발 중이던 프로젝트 361건, 30.35GB도 함께 나갔습니다.

유출을 의심한 시점에서 신고까지 24시간을 넘겼습니다. 정보통신망법 위반이고, 3천만 원 이하 과태료 부과 방침이 나왔습니다.

3,954만이라는 숫자의 정체

이 숫자를 처음 보면 이상합니다. 대한민국 인구가 5,100만 명 남짓인데 계정이 3,954만 개라니요. 뜯어보면 이유가 나옵니다.

한 사용자가 최대 13개까지 계정을 만들 수 있었기 때문에 중복이 발생합니다. 중복을 제외한 실제 피해 인원은 약 1,950만 명으로 집계됐습니다.

이건 사고가 아니라 방치입니다

해킹 사고 기사를 볼 때마다 저는 한 가지를 봅니다. 몰라서 당했는가, 알고도 안 고쳤는가. 이 둘은 완전히 다른 이야기입니다.

이번 건은 후자입니다. 티빙은 2024년에 이미 개발·운영 환경 접속키가 노출되는 취약점을 발견했습니다. 그리고 개선하지 않았습니다.

문을 잠그지 않은 게 아니라, 잠기지 않는 문이라는 걸 알면서 2년을 그냥 둔 겁니다.

여기에 신고 지연이 겹칩니다. 5월 31일 오전 10시 10분에 정보보안팀에 전파됐고, 신고는 6월 1일 오후 3시 8분이었습니다. 법이 정한 24시간을 넘겼습니다.

그리고 공식 사과는 9월 3일이었습니다. 유출로부터 석 달이 지난 시점입니다.

저는 이 세 가지가 한 줄로 이어진다고 봅니다. 취약점을 알고도 미룬 것, 신고를 미룬 것, 공개를 미룬 것. 개별 실수가 아니라 같은 판단 기준이 세 번 작동한 결과로 읽힙니다.

탈퇴 계정 887만 개는 왜 남아 있었을까요

이 부분이 이번 사건에서 가장 이해가 안 되는 대목입니다. 개인정보보호법 제21조는 보유 기간이 지나거나 처리 목적을 이룬 개인정보는 지체 없이 파기하도록 정하고 있습니다. 정당한 사유가 없으면 5일 이내입니다.

물론 예외는 있습니다. 다른 법령이 일정 기간 보관을 요구하는 경우 — 전자상거래법상 결제·계약 기록 같은 것들이죠. 그런데 그건 보관해야 할 항목만 따로 떼어 분리 보관하는 것이 원칙입니다. 887만 개의 계정 정보가 통째로 같은 곳에 남아 있다가 함께 털렸다면, 그 원칙이 지켜졌다고 보기는 어렵습니다.

지금까지 티빙 쪽에서 왜 지우지 않았는지에 대한 설명은 나오지 않았습니다. 저는 이게 보상안보다 먼저 답해야 할 질문이라고 봅니다.

보상안은 적절할까요

티빙은 1인당 약 2만 원 수준으로 추산했고, 전체 규모는 2,000억 원대로 발표했습니다. 보안 투자도 4배로 늘리겠다고 밝혔습니다.

보안 투자 4배는 의미 있는 숫자입니다. 다만 마지막 줄이 걸립니다. 탈퇴한 사람이 보상을 받으려면 다시 가입해야 합니다.

떠난 사람의 정보를 지우지 않아 사고를 냈는데, 그 사람에게 사과하려면 다시 회원이 되라고 하는 구조입니다. 경실련은 “쿠폰 몇 장으로 끝낼 일이 아니다”라며 정면으로 비판했습니다. 개인정보보호위원회 조사도 막바지에 접어들어 제재 수위가 곧 나올 전망입니다.

지금 해야 할 다섯 가지

티빙을 쓰든 안 쓰든, 예전에 탈퇴했더라도 해당됩니다. 순서대로 하시면 됩니다. 전부 무료이고 정부·공공기관이 운영합니다.

다른 시선은 어떻게 봤을까요?

저는 경실련의 지적이 핵심을 짚었다고 봅니다. 보상 규모 자체는 작지 않습니다. 다만 2,000억 원을 쓰면서도 ‘재가입 후 보상’이라는 문장을 남겼다는 게, 이 회사가 이 사건을 어떤 성격으로 보고 있는지를 드러냅니다.

남는 질문

한 가지 덧붙이자면, 이 사건은 이용자보다 사내 시스템을 굴리는 쪽이 더 뼈아프게 볼 대목이 많습니다. 접속키 노출은 어느 조직에나 있는 문제입니다. 개발 환경에 뚫린 구멍이 곧 운영 데이터로 이어지는 구조도 흔하고요.

차이를 만드는 건 기술이 아니라 발견한 다음의 처리 속도입니다. 취약점 목록에 올려두고 ‘나중에’로 미룬 항목이 몇 개나 되는지, 그게 몇 달째인지 — 이번 사건이 던지는 질문은 결국 그겁니다. 테스트 계정 11만 개가 운영 데이터와 같은 곳에 있었다는 사실도 남 일 같지 않습니다.

내 정보가 털렸는지 지금 확인하기

글 · 룬마루 | LOG N LORE

#티빙 #개인정보유출 #데이터유출 #정보보안 #크리덴셜스터핑 #명의도용 #개인정보보호위원회 #보안사고 #OTT