티빙 1,953만 건 개인정보 유출…접근권한 관리 부실이 부른 'OTT 역대 최대 참사'

---

국내 대표 OTT 플랫폼 티빙에서 1,953만 건의 개인정보가 유출되는 초유의 사태가 발생했다. 접근권한 관리 미흡이 핵심 원인으로 지적된 가운데, 피해가 모회사 CJ ENM과 CJ원 포인트 시스템까지 확산되며 그룹 전체의 정보보호 체계에 심각한 의문이 제기되고 있다.

---

사고 개요

2026년 7월, OTT 플랫폼 티빙에서 역대 최대 규모의 개인정보 유출 사고가 발생했다. 유출된 정보는 가입자 이름, 연락처, 이메일, 결제 정보 등 민감한 개인정보 1,953만 건에 달한다. 이는 티빙 전체 가입자의 상당수에 해당하는 규모로, 국내 OTT 업계 사상 최악의 침해사고로 기록됐다.

더욱 심각한 문제는 피해 범위다. 티빙과 연동된 CJ ENM 계열 서비스와 CJ원 포인트 시스템까지 피해가 확산되면서, 단일 플랫폼 사고가 그룹 전체의 고객 데이터 위기로 번졌다.

---

원인 분석: 3대 보안 허점

개인정보보호위원회 조사 결과, 이번 사고의 핵심 원인은 접근권한 관리 체계의 총체적 부실로 밝혀졌다.

1. 권한 분리 미흡

개발자, 운영자, 관리자 간 권한이 명확히 분리되지 않아 필요 이상의 데이터 접근이 가능했다. '최소 권한의 원칙(Principle of Least Privilege)'이 전혀 적용되지 않은 것이다.

2. 퇴직자 계정 관리 부실

퇴직한 직원의 시스템 접근 권한이 수개월간 방치됐다. 계정 생명주기 관리가 이루어지지 않아 외부로 유출된 퇴직자 계정이 공격 통로로 악용됐을 가능성이 제기된다.

3. 외부 협력업체 접근 통제 허점

콘텐츠 제휴사, 마케팅 대행사 등 외부 협력업체에 과도한 접근 권한이 부여됐다. 협력업체 보안 수준에 대한 점검 없이 내부 시스템 접근을 허용한 점이 치명적 약점으로 작용했다.

---

공통 패턴: 반복되는 '접근권한' 문제

이번 사고는 국내 대형 개인정보 유출 사고의 전형적인 패턴을 그대로 보여준다. 2023년 이후 발생한 주요 침해사고의 70% 이상이 내부 접근권한 관리 미흡과 연관되어 있다. 기술적 해킹보다 관리적 허점이 더 큰 위협이 되고 있는 것이다.

특히 플랫폼 기업의 급성장 과정에서 보안 투자가 서비스 확장 속도를 따라가지 못하는 '보안 부채(Security Debt)' 현상이 이번 사고의 구조적 원인으로 분석된다.

---

기업 대응 방안

전문가들은 다음과 같은 즉각적 조치를 권고한다.

• 제로 트러스트(Zero Trust) 아키텍처 도입: 내부 사용자도 지속적으로 검증하는 보안 모델 적용
• IAM(Identity and Access Management) 시스템 고도화: 계정 생성부터 폐기까지 전 생명주기 자동 관리
• 정기적 접근권한 검토(Access Review): 분기별 권한 적정성 점검 의무화
• 협력업체 보안 평가 체계 구축: 외부 접근 시 보안 수준 사전 검증 필수화

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.5 접근권한 관리]

>

정보시스템과 개인정보에 대한 접근권한은 업무 목적에 따라 최소한의 범위로 부여하고, 권한 부여·변경·말소에 대한 공식적인 절차를 수립·이행해야 한다. 특히 퇴직 및 직무 변경 시 지체 없이 권한을 회수하고, 외부자 접근 시 보안 요구사항을 계약에 명시해야 한다. 이번 사고는 해당 인증기준의 모든 항목에서 미흡 사례를 보여주는 대표적 반면교사다.

---

기자 백남정 | 개인정보보호 전문 취재팀