글로벌 빅테크 과징금 폭탄, 취약점은 여전히 '인증'에서 터진다

행태정보·음성 무단수집한 틱톡·애플에 105억 원 과징금…같은 주 CVSS 9.8 인증우회 취약점도 발견돼 기업 보안·컴플라이언스 경종

---

개인정보보호위원회가 글로벌 빅테크 기업들의 개인정보 무단수집 행위에 105억 원대 과징금 철퇴를 내렸다. 같은 시기 해외 영상 플랫폼에서는 이메일 주소만으로 계정 탈취가 가능한 치명적 인증 취약점이 공개되며, 기업들의 개인정보보호 체계 전반에 대한 점검 필요성이 다시 한번 부각됐다.

틱톡 103억·애플 2.5억 원 과징금, 무엇이 문제였나

개인정보보호위원회는 2026년 7월 22일 제14회 전체회의에서 틱톡과 애플에 대한 과징금 부과를 의결했다.

틱톡은 이용자의 적법한 동의 없이 타사 앱·웹사이트에서의 행태정보를 수집·분석해 맞춤형 광고에 활용한 혐의를 받았다. 개인정보보호법 제15조(개인정보의 수집·이용) 위반으로, 수집 목적과 항목에 대한 명확한 고지 없이 제3자 행태정보까지 끌어모은 것이 핵심 위반 사항이다. 약 103억 원의 과징금은 국내 빅테크 제재 중에서도 상위권에 해당한다.

애플은 Siri 음성비서 이용 과정에서 수집된 음성 녹음 및 전사(轉寫) 텍스트를 별도 동의 없이 품질 개선 목적으로 활용했다. 음성정보는 생체인식정보에 준하는 민감정보로 분류될 수 있어, 동의 절차 누락은 명백한 법 위반으로 판단됐다. 과징금은 약 2.5억 원이 부과됐다.

CVSS 9.8 인증우회, 이메일만 알면 계정 탈취

같은 주, 터키 사이버보안센터(USOM)는 Vimesoft Enterprise Video Platform의 치명적 취약점(CVE-2026-12692)을 긴급 공개했다. CVSS 점수 9.8로 '심각(Critical)' 등급이다.

해당 취약점의 원인은 허술한 인증 로직이다. 비밀번호 변경 기능에서 기존 비밀번호 검증 절차가 아예 누락되어, 공격자가 대상 이메일 주소만 알면 임의로 비밀번호를 변경해 계정을 탈취할 수 있다. 버전 3.11부터 3.25까지가 영향권이며, USOM은 즉각적인 패치 적용을 권고했다.

공통 패턴: '동의 없는 수집'과 '인증 설계 결함'

이번 주 두 사례는 본질적으로 같은 메시지를 던진다.

첫째, 수집 단계에서의 적법성 확보 실패다. 틱톡·애플 모두 정보 수집 자체는 기술적으로 가능했으나, 법적 근거(동의)를 갖추지 않아 제재를 받았다.

둘째, 인증·접근통제 설계의 근본적 결함이다. Vimesoft 사례는 '기존 비밀번호 확인'이라는 기초적 보안 절차가 누락된 전형적 개발 실수다.

기업·기관 대응 방안

• Privacy by Design 내재화: 서비스 기획 단계부터 법적 동의 요건을 설계에 반영해야 한다.
• 정기적 취약점 점검: 인증·권한 관련 기능은 OWASP Top 10 기준 우선 점검 대상이다.
• ISMS-P 인증 체계 활용: 개인정보 흐름 전 과정을 문서화하고, 연 1회 이상 모의훈련을 실시해야 한다.
• 글로벌 규제 동향 모니터링: EU AI Act, 미국 주(州)별 프라이버시법 등 해외 법규도 지속 추적이 필요하다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제15조 제1항 — 수집·이용의 적법 근거

>

개인정보처리자는 ①정보주체 동의, ②법률 규정, ③계약 이행, ④급박한 생명·신체 보호 등 6개 요건 중 하나를 충족해야 개인정보를 수집·이용할 수 있다. 틱톡 사례처럼 타사 행태정보를 수집할 경우, 해당 정보가 제3자 제공인지 수집인지 구분하고, 각 단계별 동의 요건을 별도로 갖춰야 한다. ISMS-P 인증 심사 시 '개인정보 수집 시 동의 절차 적정성(2.2.1)'이 주요 결함 항목으로 자주 지적된다.

---

백남정 기자 privacybeat@newsmail.kr