티빙 1,953만 건 유출·런던교통공사 해킹, '접근권한 관리'가 핵심 쟁점으로

---

국내외 대형 개인정보 침해사고가 잇따르면서 '접근권한 관리'의 중요성이 다시 부각되고 있다. 티빙에서 1,953만 건의 개인정보가 유출돼 CJ 그룹 전반으로 피해가 확산됐고, 영국에서는 런던교통공사 해킹범들이 실형을 선고받았다.

---

티빙, 접근권한 미흡으로 역대급 유출

2026년 7월 OTT 플랫폼 티빙에서 발생한 이번 유출 사고는 단일 사고로는 국내 최대 규모에 해당한다. 1,953만 건의 개인정보가 외부로 유출됐으며, 모회사인 CJ ENM을 비롯해 CJ원 포인트 시스템까지 피해가 확산된 것으로 확인됐다.

개인정보보호위원회 조사 결과, 핵심 원인은 접근권한 관리 미흡으로 밝혀졌다. 내부 시스템에 대한 권한 분리가 제대로 이뤄지지 않았고, 퇴직자 계정 관리와 외부 협력업체 접근 통제에서 허점이 드러났다. 특히 대량의 개인정보를 다운로드할 수 있는 권한이 과도하게 부여되어 있었던 점이 문제로 지적됐다.

티빙 측은 "즉시 취약점을 보완하고 전 이용자에게 개별 통지를 완료했다"며 "2차 피해 방지를 위해 실시간 모니터링 체계를 강화하겠다"고 밝혔다.

---

런던교통공사 해킹, 스캐터드 스파이더 조직원 실형

영국에서는 악명 높은 해킹 그룹 '스캐터드 스파이더(Scattered Spider)' 조직원 2명이 런던교통공사(TfL) 해킹 혐의로 각각 5년 6개월의 실형을 선고받았다.

이들은 사회공학적 기법과 SIM 스와핑을 활용해 내부 직원의 인증 정보를 탈취한 뒤 시스템에 침투했다. 수백만 명의 승객 결제 정보와 이동 기록이 유출됐으며, 일부 데이터는 다크웹에서 거래된 정황도 포착됐다.

영국 국가범죄수사국(NCA)은 "기간시설에 대한 사이버 공격은 국가 안보 위협으로 간주한다"며 강력한 처벌 의지를 밝혔다.

---

공통 패턴: 권한 관리 실패와 내부 통제 부재

두 사건의 공통점은 명확하다. '최소 권한 원칙(Principle of Least Privilege)'의 미적용이다.

• 티빙: 업무 필요 이상의 데이터 접근권한 부여
• 런던교통공사: 인증 정보 탈취 후 내부 시스템 횡적 이동 가능

결국 초기 침투 후 피해가 확산된 것은 내부 접근통제 체계가 작동하지 않았기 때문이다.

---

기업·기관 대응 방안

첫째, 접근권한의 주기적 검토가 필수다. 분기별로 권한 현황을 점검하고, 직무 변경·퇴직 시 즉각 회수해야 한다.

둘째, 이상행위 탐지 체계를 고도화해야 한다. 대량 다운로드, 비정상 시간대 접속 등 이상 징후를 실시간 감지하는 시스템 구축이 필요하다.

셋째, 제로 트러스트 아키텍처 도입을 검토해야 한다. '신뢰하되 검증하라'가 아닌 '절대 신뢰하지 말고 항상 검증하라'는 원칙으로 전환해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보의 안전성 확보조치 기준 제5조(접근권한의 관리)

- 접근권한은 업무 수행에 필요한 최소한의 범위로 차등 부여

- 인사이동 시 지체 없이 접근권한 변경·말소

- 권한 부여·변경·말소 기록을 최소 3년간 보관

>

이번 티빙 사례는 동 기준 위반의 전형적 유형으로, 과징금 산정 시 '안전조치 의무 위반'으로 가중 처분될 수 있음을 유의해야 한다.

---

백남정 기자 namjung@privacy.news