티빙 1,324만명 개인정보 유출, CI 결합 시 스미싱 악용 우려…5천 포인트 보상 논란

핵심 요약

- 티빙에서 1,904만 개 계정(중복 제외 고유 이용자 1,324만명)의 개인정보 유출 사고 발생 - CI(연계정보) 포함 유출로 타 서비스 정보와 결합 시 정교한 스미싱 등 2차 피해 우려 증대 - 5천 포인트 보상과 재가입 요구에 이용자 반발, 집단소송으로 확산 중

주요 내용

2026년 9월 현재, OTT 플랫폼 티빙에서 발생한 대규모 개인정보 유출 사고가 집단소송으로 비화되고 있다. 유출된 계정은 총 1,904만 개이며, 중복을 제외한 실제 피해자는 1,324만명으로 집계됐다. 이는 국내 OTT 서비스 역사상 최대 규모의 개인정보 침해사고로 기록될 전망이다.

특히 이번 사고에서 주목해야 할 점은 CI(Connecting Information, 연계정보)가 포함됐다는 사실이다. CI는 주민등록번호를 대체하여 여러 서비스에서 동일인을 식별하는 데 사용되는 고유 식별값으로, 금융·통신·공공서비스 등에서 광범위하게 활용된다. CI가 이름, 전화번호, 이메일 등 다른 개인정보와 결합될 경우, 공격자는 피해자가 이용 중인 다른 서비스를 특정할 수 있어 정교한 타겟형 스미싱이나 보이스피싱 공격이 가능해진다.

티빙 측은 피해자들에게 5천 포인트(5천원 상당)를 보상으로 제시하고 재가입을 요구했으나, 이용자들은 "개인정보를 다 털렸는데 5천원으로 무마하려 한다"며 강하게 반발하고 있다. 개인정보보호법 제39조의2(정보주체에 대한 손해배상)에 따르면, 정보통신서비스 제공자는 고의 또는 과실로 인한 개인정보 유출 시 손해배상 책임을 지며, 입증책임은 사업자에게 있다. 실제 피해액 산정이 어려운 경우 법원은 300만원 이하의 범위에서 상당한 금액을 손해액으로 인정할 수 있어, 5천원 보상은 법적 기준에 크게 미달한다는 지적이 나온다.

업계에서는 이번 사고가 ISMS-P 인증을 받은 대형 사업자에서 발생했다는 점에서 인증제도의 실효성에 대한 논란도 제기되고 있다. 개인정보 처리 시스템에 대한 주기적 취약점 점검과 접근통제 강화가 제대로 이루어지지 않았을 가능성이 크며, 특히 CI와 같은 고유식별정보에 대한 암호화 및 접근권한 관리가 적절했는지 전면 재검토가 필요하다는 목소리가 높다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사고는 기술적 보호조치의 부재보다 '개인정보 영향평가(PIA) 미흡'과 '고유식별정보 처리 시스템 관리 소홀'이 복합적으로 작용한 전형적인 사례다. CI는 개인정보보호법상 '고유식별정보에 준하는 정보'로 분류되며, 이를 다른 개인정보와 함께 저장·전송할 때는 별도의 암호화 및 분리 저장 조치가 필수다. 그러나 1,904만 건이라는 대규모 데이터가 한꺼번에 유출된 것은 DB 접근통제, 암호화 적용 범위, 이상 접근 탐지 체계 등이 모두 실패했음을 의미한다.

기업 입장에서 가장 경계해야 할 것은 2차 피해 확산이다. CI 유출 시 공격자는 타 서비스(특히 금융·통신)에서 동일인 계정을 특정할 수 있으며, 이를 활용한 소셜 엔지니어링 공격은 방어가 극히 어렵다. 따라서 즉각적인 CI 재발급 협의(한국인터넷진흥원 등), 피해자 대상 무료 신용정보 모니터링 서비스 제공, 그리고 협력사·연계 서비스 긴급 통보 체계 가동이 필수다. 5천 포인트 보상은 법적·윤리적으로 부적절하며, 최소한 개인정보보호법 제39조의2 제3항에 따른 법정 손해배상 기준(개인당 최소 수십만원 수준)을 고려한 보상안을 마련해야 집단소송 리스크를 완화할 수 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.9.1 (개인정보 수집·이용·제공 및 위탁 관리)
CI는 「개인정보의 안전성 확보조치 기준」 제7조(접근통제)에 따라 고유식별정보에 준하는 관리가 요구된다. 심사 시 ① CI 처리 목적의 명확성, ② 최소 수집 원칙 준수 여부, ③ 타 개인정보와의 분리 저장 여부를 중점 점검한다. 특히 CI와 성명, 연락처가 동일 테이블에 저장된 경우 즉시 시정조치 대상이다. 관련 법조항: 개인정보보호법 제3조(개인정보 보호 원칙), 제24조의2(고유식별정보의 처리 제한).

2. 인증기준 2.9.3 (개인정보 저장 및 파기)
1,324만명 규모의 유출은 암호화 미적용 또는 암호키 관리 실패를 시사한다. ISMS-P 심사에서는 ① 개인정보 DB 암호화(컬럼 또는 TDE) 적용 여부, ② 암호키 분리 보관 및 접근통제, ③ 백업 데이터 암호화 상태를 필수 확인한다. 안전성 확보조치 기준 제6조(개인정보의 암호화)는 고유식별정보 등 민감정보에 대해 암호화를 의무화하고 있으며, 미이행 시 과태료 부과 대상이다.

3. 인증기준 2.8.6 (침해사고 예방 및 대응) 및 개인정보보호법 제34조(개인정보 유출 통지 등)
사고 발생 후 5천 포인트 보상 제시는 법 제39조의2(손해배상 책임) 및 제39조의11(징벌적 손해배상, 최대 5배) 리스크를 간과한 조치다. 심사 시 ① 유출 통지(지체 없이, 관련 내용 명시) 적정성, ② 2차 피해 방지 조치(CI 재발급, 크레딧 모니터링 등), ③ 재발 방지 대책 수립 여부를 점검하며, 특히 사고 후 72시간 내 개인정보보호위원회 신고 의무 이행 여부가 핵심이다.

CPPG·ISMS-P 연계 포인트

CI(연계정보)의 법적 성격과 보호 수준
CI는 「전자서명법」에 근거하여 공인인증기관이 생성하는 개인 식별값으로, 서비스 간 동일인 확인에 활용된다. 개인정보보호법상 '가명정보'가 아닌 '고유식별정보에 준하는 정보'로 분류되며(개인정보보호위원회 유권해석), 처리 시 제24조의2(고유식별정보 처리 제한) 기준에 준하는 보호조치가 필요하다. CPPG·ISMS-P 시험에서는 CI와 DI(중복가입확인정보)의 차이, 처리 시 법적 근거(정보주체 동의 또는 법령), 암호화·분리저장 요구사항이 자주 출제된다.

개인정보 유출 시 손해배상 체계(법정손해배상 제도)
개인정보보호법 제39조의2 제3항은 실손해 입증이 어려운 경우 법원이 '300만원 이하 범위에서 상당한 금액'을 손해액으로 인정하도록 규정한다. 이는 미국 CCPA의 Statutory Damages($100~$750)와 유사한 제도로, 실제 피해액 산정 없이도 청구 가능하다. 또한 고의·중과실 입증 시 제39조의11(징벌적 손해배상, 최대 5배)이 적용될 수 있어, 기업은 사고 발생 시 법정 기준을 고려한 신속하고 합리적인 보상 체계를 마련해야 한다. 시험에서는 손해배상 입증책임 전환(사업자 부담), 법정손해배상 요건, 징벌적 배상 적용 기준이 핵심 출제 포인트다.