갑자기 야구 아이디어가 떠올랐어요! 전광판에 기록될 수비 실책이 하나가 아니라 3,954만 계정이라면요? 티빙에서 야구를 보던 팬들이 동시에 글러브를 떨어뜨릴 숫자입니다.
그런데 잠깐. “대한민국 국민 4천만 명의 정보가 털렸다”로 읽으면 안 됩니다. 3,954만은 사람 수가 아니라 계정 수입니다. 휴면·테스트·중복 계정까지 포함됐고, 조사에서 한 사람이 가진 계정이 최대 13개인 사례도 확인됐습니다. 숫자를 줄여 볼 이유도 없지만, 더 크게 부풀릴 이유도 없습니다.
핑 인턴입니다. 야구 중계 플랫폼답게 이번 사고를 ‘수비’로 읽어봤습니다. 공격자가 홈런을 친 이야기보다 더 눈에 들어온 것은 소스코드에 남은 접근키, 짧게 보관된 로그, 늦어진 내부 공유였습니다. 팬들은 점수를 뒤집을 수 있어도 유출된 개인정보를 원상복구할 수는 없으니까요.
결론부터: 3,954만 계정, ‘3,954만 명’은 아닙니다
과학기술정보통신부와 한국인터넷진흥원의 민관합동조사 결과에 따르면 유출된 계정은 총 3,954만 개입니다. 로그인 가능한 계정 2,206만 개, 휴면 계정 1,737만 개, 테스트 계정 11만 개로 나뉩니다.
여기서 가장 중요한 단위는 ‘계정’입니다. 티빙 직접 가입, CJ ONE 연동, 소셜 간편가입을 한 사람이 각각 사용했다면 여러 계정으로 잡힐 수 있습니다. 정부 조사에서 동일인이 보유한 계정은 최대 13개까지 확인됐습니다. 그러므로 피해 규모를 말할 때는 “약 3,954만 명”이 아니라 “약 3,954만 계정” 이라고 써야 정확합니다.
그렇다고 심각성이 작아지는 것은 아닙니다. 로그인 가능한 계정만 2,206만 개이고, 오랫동안 쓰지 않은 휴면 계정도 1,737만 개가 포함됐습니다. 사용자가 잊었다고 서비스가 개인정보 보호 의무까지 잊을 수는 없습니다. 테스트 계정 11만 개까지 외부 조회 대상이 됐다는 사실도 운영망의 경계가 얼마나 넓게 노출됐는지 보여줍니다.
계정은 어디에서 들어왔나: SNS 간편가입이 가장 많았습니다
가입 경로를 보면 티빙 직접 가입 726만 개, CJ ONE 연동 863만 개, SNS 간편가입 2,247만 개로 조사됐습니다. 숫자의 중심이 티빙 아이디만은 아니었다는 뜻입니다.
어, 이거 어때요? 평소에는 간편가입을 ‘클릭 한 번을 줄여주는 편의 기능’으로만 생각합니다. 사고가 나면 반대로 내가 어느 경로로 가입했는지조차 기억하기 어려운 문제가 됩니다. 카카오, 네이버, 애플 같은 외부 계정 자체의 비밀번호가 티빙에서 곧바로 유출됐다는 뜻은 아닙니다. 하지만 어떤 이메일·전화번호·연계 식별정보가 노출됐는지는 티빙의 공식 조회 페이지에서 계정별로 확인해야 합니다.
가입 경로별 세 수치를 단순 합산하면 전체 수치와 약간 다릅니다. 공개자료의 분류 및 반올림 단위가 다를 수 있으므로, 이 글은 정부가 공식 발표한 각 수치를 그대로 병기하되 임의로 나머지를 새 범주로 만들지 않았습니다.
무엇이 유출됐나: 비밀번호만의 문제가 아닙니다
개인정보보호위원회의 6월 4일 조사 착수 발표는 초기 신고 단계에서 아이디, 이름, 생년월일, 성별, CI·DI, 휴대전화번호, 이메일, 환불계좌번호, 비밀번호 등이 유출 항목에 포함됐다고 밝혔습니다. 일부 정보는 암호화돼 있었다고 덧붙였습니다.
9월 민관합동조사는 아이디, 일방향 암호화된 비밀번호, CJ ONE 통합 아이디, 이름, 전화번호, 이메일, 생년월일, CI 등 20개 항목 약 70종의 정보가 조회됐다고 발표했습니다. 계정마다 가입 방식과 입력한 정보가 다르므로 모든 계정에서 70종이 똑같이 빠져나갔다는 의미는 아닙니다.
“비밀번호가 암호화됐으니 괜찮다”도 너무 빠른 결론입니다. 일방향 해시는 원문을 그대로 저장한 것보다 안전하지만, 짧고 흔한 비밀번호는 공격자가 후보를 대입해 맞힐 위험이 있습니다. 특히 다른 사이트에서 같은 비밀번호를 썼다면 티빙 하나의 문제가 연쇄 로그인 시도로 번질 수 있습니다. 비밀번호 재사용 계정부터 바꾸는 이유입니다.
환불계좌번호 등 금융 관련 정보가 실제 본인 계정에서 유출됐는지는 공식 조회 결과를 기준으로 판단해야 합니다. 모든 이용자에게 같은 항목이 노출됐다고 단정하거나, 곧바로 계좌에서 돈이 빠져나간다고 공포를 키우는 설명은 정확하지 않습니다.
사고는 6월에 시작된 게 아니라, 5월 30일 이상 징후가 잡혔습니다
날짜도 바로잡겠습니다. 흔히 ‘6월 티빙 해킹’이라고 부르지만 정부 조사 기준 이상 징후는 5월 30일 DB 서버 과부하로 확인됐습니다. 정보보호팀과 CISO에게 상황이 전달된 시점은 5월 31일 오전 10시 10분, KISA 신고는 6월 1일 오후 3시 8분이었습니다.
정부는 이상 징후 뒤 보안 조직에 공유되기까지 약 14시간이 걸렸고, 법에서 정한 24시간 이내 신고 의무도 지키지 못했다고 판단했습니다. 이에 최대 3,000만원의 과태료 부과 절차를 진행한다고 밝혔습니다. 개인정보보호위원회에는 별도의 개인정보 유출 신고가 6월 3일 새벽 접수됐습니다. 침해사고 신고와 개인정보 유출 신고는 담당 기관과 법적 근거가 달라 시간도 따로 봐야 합니다.
야구로 치면 타구가 외야로 빠진 뒤 중계 플레이가 늦어진 장면입니다. 최초 탐지, 내부 전파, 외부 신고가 한 덩어리처럼 움직이지 않았습니다. 사고는 공격 순간에만 커지는 게 아니라 대응이 지연되는 시간에도 커집니다.
진짜 아픈 장면: 이미 발견했던 접근키 문제를 고치지 않았습니다
민관합동조사 결과에서 가장 무거운 대목은 공격 기법의 화려함이 아닙니다. 2024년 모의침투 점검에서 개발·운영 시스템 접근키가 소스코드에 평문으로 노출된 문제가 발견됐지만, 티빙이 적절히 개선하지 않았다는 점입니다.
공격자는 이 접근정보를 이용해 내부 서버에 들어가 회원정보를 조회한 것으로 조사됐습니다. 정부는 추천·검색, 회원관리, 인증·결제 관련 시스템을 포함한 361개 기술 자산과 개발 프로젝트의 소스코드도 유출됐다고 밝혔습니다. 9월 4일 기준, 유출된 소스코드를 악용한 추가 공격 징후는 확인되지 않았습니다. “아직 확인되지 않았다”와 “앞으로도 없다”는 다른 문장입니다.
접속기록 관리도 문제였습니다. 로그를 선별 저장했고 일부 신규 장비에는 약 6일치 접속기록만 남아 침입 경로와 범위를 확인하는 데 제약이 생겼습니다. 업무용 PC의 백신과 최신 버전 관리도 충분하지 않았다고 조사됐습니다.
어, 이거 어때요? 이번 사고를 ‘대단한 해커가 철벽을 뚫었다’는 영화로만 보면 정작 배울 장면을 놓칩니다. 노출된 비밀키를 교체하고, 로그를 충분히 남기고, 이상 징후를 즉시 공유하는 기본 수비가 빠졌습니다. 팬이 가장 답답해하는 실책도 어려운 공을 못 잡은 장면보다 잡을 수 있는 공을 놓친 장면이잖아요.
야구 팬에게 더 크게 다가오는 이유
티빙과 야구를 엮는 것은 억지 비유가 아닙니다. CJ ENM의 공식 발표에 따르면 티빙은 2024~2026년 KBO 리그 유무선 중계권을 보유합니다. 시범경기, 정규시즌, 포스트시즌, 올스타전 등 전 경기를 다루며 야구 팬을 핵심 이용자로 끌어왔습니다.
KBO의 2026년 전반기 결산은 티빙의 전반기 평균 시청자 수가 전년보다 12.2% 늘었다고 밝혔습니다. 야구 팬에게 티빙 계정은 단순히 드라마 한 편을 보는 로그인 수단이 아니라, 매일 응원팀 경기를 여는 입장권에 가깝습니다. 그래서 신뢰의 손상도 체감이 큽니다.
다만 야구 팬만 피해자라는 뜻은 아닙니다. 드라마·예능 시청자, 과거 무료체험 뒤 잊고 있던 휴면 회원, CJ ONE이나 소셜 로그인으로 연결한 이용자까지 범위가 넓습니다. 야구는 이 사건을 이해하기 좋은 언어이지 피해 범위를 제한하는 분류가 아닙니다.
지금 해야 할 일: 문자 링크 말고 공식 페이지부터
첫째, 티빙 개인정보 유출 내역 조회 페이지에서 본인 계정의 유출 여부와 항목을 확인하세요. 검색 결과나 문자메시지 속 단축 링크가 아니라 티빙 앱 또는 주소창에 직접 입력한 공식 사이트로 들어가는 편이 안전합니다.
둘째, 티빙 비밀번호를 바꾸고 같은 비밀번호를 쓴 다른 서비스도 각각 다른 비밀번호로 바꾸세요. 소셜 간편가입 이용자는 연결된 외부 계정의 로그인 기록과 보안 알림을 함께 확인하고, 제공되는 경우 2단계 인증을 켜는 편이 좋습니다.
셋째, 앞으로 올 수 있는 2차 피싱을 경계하세요. 유출된 이름·전화번호·이메일·가입 사실을 조합하면 “보상 신청”, “환불계좌 확인”, “회원 탈퇴” 같은 그럴듯한 문자를 만들 수 있습니다. 링크를 누르기 전에 앱 안 공지와 공식 고객센터에서 같은 안내가 있는지 확인하세요.
KISA 보호나라 안내도 피싱 사이트에 계정 정보를 입력했다면 동일 비밀번호를 쓰는 다른 사이트까지 즉시 변경하고, 가능한 경우 2차 인증을 설정하라고 권고합니다. 의심 문자나 개인정보 침해 상담은 국번 없이 118을 이용할 수 있습니다.
티빙이 다음 이닝에서 증명해야 할 것
비밀번호 변경 안내만으로 회사의 수비가 끝나지는 않습니다. 접근키를 소스코드와 분리해 안전한 비밀관리 시스템으로 옮겼는지, 과거 키를 폐기하고 새 키를 발급했는지, 어떤 접속기록을 얼마나 오래 보관하는지, 유출된 361개 기술 자산을 악용하는 추가 공격을 어떻게 감시하는지 공개해야 합니다.
휴면 계정 관리도 질문이 남습니다. 1,737만 개라는 숫자는 서비스를 떠난 이용자의 데이터가 얼마나 오래, 어떤 이유로 남아 있었는지 묻게 합니다. 법정 보존 의무가 있는 정보와 서비스 편의를 위해 남긴 정보를 구분하고, 보유 목적이 끝난 정보는 안전하게 파기했는지 설명할 필요가 있습니다.
그리고 2024년에 이미 발견된 취약점이 왜 고쳐지지 않았는지 책임과 절차를 밝혀야 합니다. 점검 보고서를 받는 것과 위험을 실제로 없애는 것은 다릅니다. 다음 점검에서는 “발견 건수”보다 조치 완료율과 재검증 결과를 보여줘야 합니다.
핑의 한 줄 판정
3,954만은 3,954만 명이 아니라 중복·휴면·테스트를 포함한 계정 수입니다. 하지만 기본 수비의 빈틈이 이미 지적됐는데도 고치지 않아 이 규모로 이어졌다는 사실은 숫자만큼 무겁습니다.
어떤 게 제일 중요해 보여요?! 저는 화려한 보상안보다 먼저, “2024년에 발견한 접근키 문제를 왜 2026년까지 고치지 않았는가”에 대한 답을 보고 싶습니다. 야구는 다음 경기에서 만회할 수 있지만, 유출된 개인정보는 주워 담을 수 없으니까요.
핵심만 다시 보기
- 유출 규모는 약 3,954만 계정이며 약 3,954만 명이 아닙니다.
- 로그인 가능 2,206만, 휴면 1,737만, 테스트 11만 계정이 포함됐습니다.
- 아이디·이름·전화번호·이메일·생년월일·CI·암호화된 비밀번호 등 계정별 정보가 유출됐습니다.
- 2024년 점검에서 소스코드 속 접근키 노출이 발견됐지만 적절히 개선되지 않았습니다.
- 티빙 공식 조회 페이지에서 유출 항목을 확인하고 재사용 비밀번호를 바꿔야 합니다.
- 보상·환불·본인확인을 재촉하는 문자와 이메일의 링크를 특히 경계해야 합니다.
