티빙 3954만 계정 유출, 접속키 암호화 누락…ISMS-P 인증 취소 위기

핵심 요약

- 티빙에서 활성계정 2206만 개 포함 총 3954만 개 계정 정보 유출, 개인정보 20개 항목·70종 노출 - 과기부 조사 결과 데이터베이스 접속키 암호화 누락, 평문 저장 등 접근통제 관리 부실 확인 - 정보통신망법 제48조의3 위반으로 ISMS-P 인증 취소 및 과징금 부과 전망

주요 내용

과학기술정보통신부는 2026년 9월 3일 국내 주요 OTT 플랫폼 티빙(TVING)에서 발생한 대규모 개인정보 침해사고에 대한 조사 결과를 발표했다. 이번 사고로 활성계정 2206만 개를 포함해 비활성·테스트 계정까지 총 3954만 개의 계정 정보가 유출됐으며, 소스코드 361건도 함께 노출된 것으로 확인됐다. 유출된 개인정보는 20개 항목, 70종에 달하며 이름, 이메일, 전화번호, 시청 이력 등 민감한 정보가 다수 포함된 것으로 파악됐다.

과기부의 정밀 조사 결과, 이번 침해사고의 근본 원인은 데이터베이스 접속키 관리 부실로 밝혀졌다. 티빙은 데이터베이스 접속에 필요한 인증키를 암호화하지 않고 평문(Plain Text) 형태로 저장·관리했으며, 접근권한 통제도 제대로 이루어지지 않았다. 또한 소스코드 버전 관리 시스템에 대한 접근통제가 미흡해 외부 공격자가 비교적 쉽게 시스템에 침투할 수 있었던 것으로 분석됐다.

특히 티빙은 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 보유한 기업임에도 불구하고 정기적인 보안점검을 소홀히 했던 것으로 드러났다. 접속키 및 암호화 키의 최신버전 관리, 주기적인 갱신, 취약점 점검 등 기본적인 보안 관리 절차가 제대로 이행되지 않았다. 과기부는 정보통신망법 제48조의3(개인정보의 기술적·관리적 보호조치)를 위반한 것으로 판단하고, ISMS-P 인증 취소 및 과징금 부과를 검토 중이다.

이번 사고는 국내 OTT 시장에서 발생한 최대 규모의 개인정보 유출 사건으로, 구독자 신뢰도 하락과 함께 경쟁사 대비 경영상 타격이 불가피할 전망이다. 티빙은 현재 전체 시스템에 대한 긴급 보안점검을 실시하고 있으며, 피해 이용자에 대한 보상 방안을 마련 중이다.

전문가 시각

이번 티빙 사고는 ISMS-P 인증 기업에서조차 발생할 수 있는 전형적인 '관리 부실형' 침해사고의 전형을 보여준다. 특히 데이터베이스 접속키를 평문으로 저장한 것은 정보보호 기본 원칙을 위반한 중대한 과실이다. 많은 기업들이 인증 취득 시점에는 철저한 보안통제를 구현하지만, 사후 관리 단계에서 개발 편의성을 이유로 보안 수준을 낮추는 경향이 있다. 암호화 키 관리는 HSM(Hardware Security Module) 또는 전용 KMS(Key Management System)를 통해 중앙집중식으로 관리해야 하며, 소스코드나 설정파일에 하드코딩하는 관행은 반드시 근절되어야 한다.

실무 관점에서 기업들은 DevSecOps 체계 구축을 통해 개발-운영-보안을 통합 관리해야 한다. 소스코드 저장소에 대한 접근통제, 시크릿(Secret) 정보의 별도 관리, 정기적인 취약점 스캐닝, 그리고 무엇보다 비활성 계정과 테스트 계정에 대한 주기적인 정리가 필수적이다. 이번 사고에서 3954만 개 중 비활성·테스트 계정이 상당수를 차지한 점은 데이터 최소화 원칙이 제대로 지켜지지 않았음을 의미한다. ISMS-P 인증 기업은 연 1회 사후심사를 대비하되, 내부적으로는 분기별 자체점검을 통해 통제 수준을 지속적으로 유지해야 한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 암호키 관리 (인증기준)
- 암호화키 및 인증키는 안전한 저장소(HSM, Vault 등)에 암호화하여 보관해야 하며, 소스코드·설정파일 내 평문 저장 금지
- 심사 시 데이터베이스 접속 스크립트, API 인증키 저장 방식, 형상관리 시스템 내 시크릿 정보 관리 실태를 필수 확인
- 개인정보보호법 제29조(안전성 확보조치), 개인정보의 안전성 확보조치 기준 제7조(접근통제) 위반 소지

2. 2.7.1 사용자 계정 관리
- 비활성 계정에 대한 주기적 검토 및 삭제, 테스트 계정의 생명주기 관리 절차 수립 필수
- 심사 시 계정 생성·변경·삭제 대장, 휴면계정 처리 내역, 테스트 계정 정리 기록 확인
- 정보통신망법 제29조(개인정보의 파기)와 연계하여 불필요 정보의 지체없는 파기 의무 준수 여부 점검

3. 2.9.3 정보시스템 취약점 점검 및 조치
- 소스코드 저장소, 데이터베이스 등 주요 시스템에 대한 정기적 취약점 점검(최소 분기 1회) 및 최신 보안패치 적용
- 심사 시 취약점 스캐닝 결과 보고서, 조치 이력, 소스코드 보안 검토(SAST/DAST) 수행 여부 확인
- 정보통신망법 제48조의3 제1항 제2호(접근통제장치 설치·운영) 이행 여부 평가

CPPG·ISMS-P 연계 포인트

1. 접근통제 3요소와 키 관리
접근통제의 3요소는 식별(Identification), 인증(Authentication), 인가(Authorization)이다. 이번 사고에서 문제가 된 데이터베이스 접속키는 '인증' 단계의 핵심 수단으로, 암호화되지 않은 평문 저장은 인증 우회 가능성을 높인다. CPPG 시험에서는 암호키 생명주기 관리(생성→저장→사용→폐기), 키 분리 보관 원칙, 접근권한 최소화가 출제되며, ISMS-P에서는 2.8.2(암호키 관리) 통제항목으로 직접 연결된다.

2. 개인정보 최소수집 및 파기 의무
개인정보보호법 제16조(개인정보의 수집 제한)와 제21조(개인정보의 파기)는 필요 최소한의 정보만 수집하고 보유기간 경과 시 지체없이 파기할 것을 요구한다. 티빙 사례처럼 비활성·테스트 계정을 장기간 방치하는 것은 법 위반이며, ISMS-P 2.7.1(계정 관리)과 2.4.4(개인정보 처리단계별 보호조치)에서 중점 심사된다. 시험에서는 휴면계정 처리 기준(1년 미이용 시 분리보관), 파기방법(복구 불가능한 방법), 파기 시 고려사항이 빈출된다.