티빙 해킹 사태로 본 OTT 플랫폼 보안 취약점과 ISMS-P 인증 쟁점

핵심 요약

- 티빙 해킹 사태로 웨이브와의 연내 합병 계획에 불확실성 증가 - 최주희 대표이사가 직접 나서 공식 사과했으나 구체적인 유출 규모와 원인은 미공개 - OTT 플랫폼 합병 시 정보보호 관리체계 통합과 ISMS-P 재인증 이슈 부각

주요 내용

2026년 9월 현재, 티빙의 개인정보 유출 사고가 업계에 큰 파장을 일으키고 있다. 최주희 대표이사가 직접 기자회견을 통해 공식 사과에 나섰지만, 유출된 개인정보의 정확한 규모와 해킹 경로에 대한 상세한 공개는 이루어지지 않았다. 이는 웨이브와의 연내 합병을 추진 중인 티빙에게 치명적인 변수로 작용하고 있다.

OTT 플랫폼은 이용자의 시청 패턴, 결제정보, 개인 선호도 등 민감한 정보를 대량으로 보유하고 있어 해킹의 주요 타깃이 되고 있다. 특히 티빙은 CJ ENM 계열사로서 약 600만 명 이상의 유료 가입자를 보유한 국내 1위 OTT 플랫폼이다. 이번 사고는 단순 기술적 취약점을 넘어 정보보호 관리체계 전반의 문제를 드러낸 것으로 보인다.

더욱 주목할 점은 합병 추진 과정에서 발생한 보안 사고라는 점이다. 웨이브와의 통합을 앞두고 시스템 연동, 데이터 이관 등 복잡한 작업이 진행되는 시점에서 보안 관리 공백이 발생했을 가능성이 제기된다. 한편 KT는 자체 미디어 플랫폼인 지니TV 강화에 나서고 있어, 티빙-웨이브 합병 지연은 시장 경쟁 구도에도 영향을 미칠 전망이다.

합병 절차에서는 양사의 ISMS-P 인증 통합, 개인정보 이전에 대한 법적 근거 마련, 통합 보안 관리체계 구축 등이 선행되어야 한다. 이번 사고로 인해 금융위원회와 개인정보보호위원회의 합병 승인 과정에서 정보보호 역량에 대한 추가 검증이 불가피할 것으로 예상된다.

전문가 시각

ISMS-P 심사원 관점에서 이번 사고는 여러 시사점을 제공한다. 첫째, M&A 과정에서의 정보보호 관리 강화 필요성이다. 합병 준비 단계에서는 시스템 통합 테스트, 외부 협력사 증가, 데이터 이관 작업 등으로 인해 평소보다 훨씬 많은 보안 취약점이 발생한다. 이 시기에는 임시 계정 관리, 접근권한 통제, 변경관리 절차가 더욱 엄격하게 적용되어야 하나, 실무에서는 합병 일정에 밀려 보안 통제가 약화되는 경우가 많다.

둘째, 대규모 플랫폼의 침해사고 대응체계 점검이 시급하다. 티빙 측이 유출 규모와 원인을 즉시 공개하지 못한 점은 사고 탐지·분석 역량의 한계를 보여준다. 600만 명 이상의 이용자를 보유한 플랫폼이라면 실시간 이상징후 탐지 체계, 포렌식 분석 도구, 신속한 영향 범위 파악 프로세스가 사전에 구축되어 있어야 한다. 합병 이후에는 두 플랫폼의 보안관제 체계를 통합하고, 통합 SOC(Security Operations Center) 구축을 통해 24시간 모니터링 체계를 강화해야 할 것이다.

ISMS-P 심사원 체크포인트

1. 2.8.2 인수합병 시 개인정보 보호 (필수)
M&A 과정에서 개인정보 이전에 대한 법적 근거(개인정보보호법 제27조 영업양도 시 개인정보 이전), 이용자 사전 고지 및 동의, 통합 개인정보 처리방침 수립이 필수다. 티빙-웨이브 합병 시 양사 가입자 약 1,000만 명의 개인정보 통합 처리에 대한 명확한 법적 절차와 기술적 보호조치 이행 여부를 중점 심사해야 한다. 특히 합병 추진 과정에서 발생한 이번 유출 사고는 통합 작업 중 보안 관리 공백이 없었는지 면밀한 검토가 필요하다.

2. 2.3.1 침해사고 예방 및 대응 체계 구축 (필수)
침해사고 탐지·대응·복구 절차, 비상연락체계, 모의훈련 실시 기록을 확인한다. 이번 사고에서 티빙의 초기 대응 지연과 정보 공개 미흡은 사고대응 체계의 실효성에 의문을 제기한다. 개인정보보호법 제34조(개인정보 유출 통지·신고)에 따라 유출 사실 인지 즉시 정보주체 통지와 개인정보보호위원회 신고 의무를 이행했는지, 지체 사유가 있는지 확인이 필요하다.

3. 2.5.3 접근권한 검토 (필수)
합병 준비 과정에서 시스템 통합 작업을 위해 부여된 임시 계정, 외부 협력사 계정, 관리자 권한에 대한 정기 검토가 이루어졌는지 점검한다. M&A 시기에는 평소보다 많은 특수 권한이 부여되므로, 최소권한 원칙 준수, 권한 부여·회수 이력 관리, 비인가 접근 모니터링이 더욱 중요하다.

CPPG·ISMS-P 연계 포인트

개인정보 이전 시 법적 요건 (개인정보보호법 제27조)
영업 양도·합병 시 개인정보를 이전받는 자는 이전 사실, 이전되는 개인정보 항목, 이전받는 자의 성명을 정보주체에게 통지해야 한다. 정보주체는 개인정보 이전에 동의하지 않을 경우 처리 정지를 요구할 수 있다. CPPG 시험에서는 영업양도와 합병의 법적 차이, 사전 동의 vs 사후 통지 구분이 출제되므로 제27조 각 항의 요건을 정확히 숙지해야 한다.

침해사고 통지·신고 의무 (개인정보보호법 제34조)
개인정보 유출 인지 시 지체 없이 해당 정보주체에게 ①유출된 개인정보 항목 ②유출 시점과 그 경위 ③유출로 인해 발생할 수 있는 피해 최소화 방법 ④대응 조치 및 피해 구제절차를 통지해야 한다. 1,000명 이상 유출 시 개인정보보호위원회 또는 전문기관(한국인터넷진흥원)에 신고 의무가 있으며, 위반 시 과태료 부과 대상이다. ISMS-P 심사 시 통지·신고 이행 여부와 시기의 적정성을 필수로 확인한다.