티빙 1,953만 명 개인정보 유출, CI·DI 포함 역대급 사고…2차 피해 비상

---

국내 대표 OTT 플랫폼 티빙에서 1,953만 명의 개인정보가 유출되는 초대형 침해사고가 발생했다. 특히 변경이 불가능한 CI(연계정보)·DI(중복가입확인정보)까지 포함되어 장기적인 2차 피해가 우려되며, 개인정보보호위원회가 민관합동조사단을 긴급 투입해 원인 규명에 나섰다.

---

사고 개요 및 유출 정보 분석

이번 사고는 국내 개인정보 유출 역사상 4번째 규모로 기록될 전망이다. 유출된 정보는 △아이디 △비밀번호 △생년월일 △환불 계좌번호 등 기본 개인정보는 물론, CI(Connecting Information)와 DI(Duplication Information)까지 포함된 것으로 확인됐다.

CI·DI는 주민등록번호를 대체해 본인확인에 활용되는 고유식별 연계정보로, 한 번 생성되면 평생 변경이 불가능하다는 점에서 심각성이 크다. 해당 정보가 유출될 경우 다른 플랫폼에서의 명의도용, 금융사기, 계정 탈취 등 연쇄적 피해로 이어질 수 있다.

업계 관계자는 "비밀번호는 변경하면 되지만, CI·DI는 사실상 '디지털 주민번호'와 같아 피해자들이 평생 불안을 안고 살아야 할 수 있다"고 우려했다.

---

공통 패턴: OTT·플랫폼 기업의 보안 사각지대

최근 대형 플랫폼 기업들의 개인정보 유출 사고가 잇따르고 있다. 이들 사고에서 발견되는 공통 패턴은 다음과 같다.

첫째, 대량 데이터 집중화의 위험성이다. 가입자 확보 경쟁 속에 수천만 건의 개인정보가 단일 시스템에 집중되면서, 한 번의 침해로 대규모 피해가 발생하는 구조적 취약점이 드러났다.

둘째, CI·DI 등 민감정보 관리 미흡이다. 본인확인 과정에서 수집한 CI·DI를 장기 보관하거나, 암호화 수준이 낮은 상태로 저장하는 관행이 문제로 지적된다.

셋째, 침해 탐지 및 대응 체계 부재다. 대규모 유출이 발생할 때까지 내부에서 인지하지 못하는 경우가 많아, 실시간 모니터링 시스템의 부재가 반복적으로 확인된다.

---

기업·기관 대응 방안

개인정보보호위원회는 민관합동조사단을 구성해 유출 경위와 기술적·관리적 보호조치 준수 여부를 조사 중이다. 위반 사항이 확인될 경우 과징금(위반 관련 매출액의 최대 3%) 및 과태료 부과, 나아가 대표자 징계권고까지 이뤄질 수 있다.

전문가들은 기업들에게 다음과 같은 대응을 권고한다.

• CI·DI 보유 최소화: 본인확인 완료 후 즉시 파기하거나, 불가피할 경우 별도 분리 보관 및 강화된 암호화 적용
• 이상징후 탐지 체계 구축: AI 기반 실시간 모니터링으로 비정상 접근 조기 차단
• 침해사고 대응 모의훈련: 연 1회 이상 시나리오별 대응훈련 실시
• 정보주체 신속 통지: 유출 인지 시 72시간 내 통지 의무 철저 이행

피해 이용자들은 당장 티빙 비밀번호 변경과 함께, 동일 비밀번호를 사용하는 타 서비스의 비밀번호도 즉시 변경해야 한다. 또한 금융감독원의 '개인정보노출자 사고예방시스템'에 등록해 명의도용 피해를 예방할 것을 권장한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

CI·DI의 법적 성격과 관리 의무

>

CI(연계정보)와 DI(중복가입확인정보)는 「개인정보 보호법」상 고유식별정보에 준하는 민감정보로 해석되어 강화된 보호조치가 요구된다. ISMS-P 인증기준 2.5.1(사용자 인증) 및 2.5.5(정보자산 식별 및 분류)에 따라, 본인확인기관으로부터 전달받은 CI·DI는 ①수집 목적 달성 시 지체 없이 파기하거나, ②보관 시 안전한 암호화 알고리즘(AES-256 등) 적용 및 접근권한 최소화가 필수다. 시험에서는 "CI·DI 유출 시 타 정보와의 결합 가능성에 따른 위험도 평가" 문제로 출제될 수 있다.

---

백남정 기자 (privacy@newsdata.kr)