2026년 5월 30일, CJ ENM이 운영하는 OTT 서비스 티빙(TVING)의 DB에 직접 침입이 발생했다. 최종 집계된 피해 규모는 1,953만 명으로, 역대 국내 개인정보 유출 사고 중 네 번째로 큰 규모다. 이 글에서는 사건 경과와 유출 항목, 그리고 왜 이번 유출이 "주민등록번호보다 치명적"이라는 평가를 받는지 정리한다.
사건 경과
- 5월 30일 오후 6시 1분: 티빙 DB에 직접 침입 발생
- 5월 31일 오후 3시 9분: 티빙 측이 자사 회원 개인정보 유출을 내부적으로 확인
- 6월 1일 오후 3시 8분: 관계기관에 신고
- 6월 3일: 이용자 대상 공식 공지
침해 발생부터 공식 공지까지 나흘이 걸렸다. 이 대응 속도와 소극적인 공지 태도는 이후 유사 시기에 발생한 다른 유출 사건(쿠팡 등)과 비교되며 비판의 대상이 됐다.
유출된 정보
- 아이디, 이름, 생년월일, 성별
- CI(연계정보), DI(중복가입확인정보)
- 휴대폰 번호(마지막 4자리는 암호화)
- 이메일(도메인 제외 ID 부분 암호화)
- 환불 계좌번호(암호화)
- 비밀번호(단방향 암호화 — 평문 유출은 아니지만 해시 크래킹 시도 대상이 될 수 있음)
- 기타 서비스 이용 관련 정보
CI·DI가 특히 위험한 이유
이번 사건에서 가장 우려되는 항목은 아이디·비밀번호가 아니라 CI(Connecting Information) 다. CI는 주민등록번호를 기반으로 생성되는 본인확인 식별값으로, 여러 온라인 서비스에 흩어진 개인정보를 "동일인" 기준으로 묶어낼 수 있어 흔히 "온라인 주민등록번호"라고 불린다.
- 한번 생성되면 사실상 변경이 불가능하다 — 비밀번호처럼 재발급해서 막을 수 있는 값이 아니다
- 다른 유출 정보(이름, 생년월일, 휴대폰번호 등)와 결합되면 명의도용, 스미싱, 계정 탈취 등 2차 범죄의 연결고리로 악용될 수 있다
- CI 자체는 암호화 없이 유출된 것으로 알려져, 실질적인 장기 리스크가 가장 큰 항목으로 지목된다
즉 비밀번호는 바꾸면 그만이지만, CI가 유출됐다는 사실 자체는 이용자가 스스로 되돌릴 방법이 없다.
기업 대응과 후폭풍
티빙은 비밀번호 변경 안내와 유출 여부 조회 기능을 제공하는 수준으로 대응했다. 구체적인 원인 조사 결과나 보상안은 조사가 마무리된 뒤에 나올 것으로 예고된 상태이며, 집단소송과 과징금 이슈가 뒤따르고 있다.
보안 실무 관점에서 볼 지점
- DB 직접 침입이라는 표현에서 보듯, 공격 표면이 애플리케이션 레이어(웹 취약점)가 아니라 DB 접근 경로 자체였을 가능성이 거론된다. 내부망 세그멘테이션과 DB 접근 통제(허용 IP, 서비스 계정 최소 권한)가 얼마나 촘촘했는지가 핵심 쟁점이다.
- 비밀번호가 단방향 암호화(해시)로 저장된 점은 최소한의 방어선이 작동했다는 뜻이지만, 해시 알고리즘의 강도(단순 SHA 계열인지, bcrypt/argon2처럼 salt+cost factor를 갖춘 방식인지)에 따라 실질적 안전성은 크게 달라진다.
- 침해 인지(5/31) 후 공식 공지(6/3)까지 나흘의 간격은 개인정보보호법상 통지 의무 이행 속도 측면에서 논란이 됐다 — 사고 대응 프로세스에서 "탐지 이후 통지까지"의 시간을 얼마나 단축할 수 있는지도 실무에서 중요한 지표다.
참고 자료