티빙 3954만 계정 유출, KT 보상 이용권 회원까지 2차 피해…국감 쟁점화

핵심 요약

- 티빙이 3954만 계정 개인정보 유출 사고 피해자를 대상으로 9월 30일까지 보상 신청 접수 중 - KT 개인정보 유출 사고 보상으로 티빙 이용권을 받았던 이용자가 다시 유출 피해를 입는 '이중 피해' 발생 - 방치된 보안 취약점 관리 실태가 2026년 국정감사의 주요 쟁점으로 대두

주요 내용

티빙은 2026년 9월 30일까지 개인정보 유출 피해 회원을 대상으로 보상 신청을 받고 있다. 보상 내용에는 최신 영화 등 콘텐츠 이용권이 포함된 것으로 알려졌다. 이번 사고로 유출된 계정 수는 총 3954만 건에 달하며, OTT 업계 사상 최대 규모의 개인정보 침해 사고로 기록됐다.

특히 주목할 점은 과거 KT 개인정보 유출 사고의 피해 보상으로 티빙 이용권을 지급받았던 이용자들이 이번 티빙 유출 사고로 재차 개인정보 침해 피해를 입었다는 사실이다. 한 번의 개인정보 유출 사고 피해자가 보상 과정에서 다른 서비스로 이동했다가 또다시 같은 유형의 피해를 당하는 '이중 유출' 상황이 발생한 것이다.

이러한 반복적 개인정보 침해 사고는 국내 주요 IT 서비스 사업자들의 보안 취약점 관리 실태에 대한 근본적인 의문을 제기한다. 국회는 오는 국정감사에서 티빙과 관련 사업자들을 대상으로 보안 취약점이 왜 장기간 방치됐는지, 사전 예방 조치는 적절했는지 집중 추궁할 예정이다.

업계에서는 OTT 서비스의 급격한 성장 과정에서 보안 투자가 상대적으로 소홀했을 가능성을 지적하고 있다. 특히 레거시 시스템과 신규 서비스가 혼재된 환경에서 통합 보안 관리 체계가 미흡했던 것으로 분석된다.

전문가 시각

ISMS-P 인증을 획득한 사업자라 하더라도 인증 취득 이후 지속적인 보안 관리가 이루어지지 않으면 이번 사례와 같은 대규모 유출 사고를 예방할 수 없다. 특히 3954만 건이라는 유출 규모는 전체 이용자 DB가 노출됐을 가능성을 시사하며, 이는 접근 통제, 암호화, 로그 모니터링 등 다층적 보안 통제가 동시에 실패했음을 의미한다. 실무적으로는 정기적인 취약점 점검, 침투 테스트, 보안 패치 관리 프로세스가 형식적으로 운영되었을 가능성이 높다.

기업 입장에서는 이번 사고를 계기로 ISMS-P 인증 유지를 위한 형식적 준수를 넘어, 실질적인 보안 내재화(Security by Design) 전략으로 전환해야 한다. 특히 개인정보 유출 사고 이력이 있는 타 사업자의 이용자를 보상 차원에서 유입할 경우, 해당 이용자 그룹에 대한 강화된 보안 조치와 별도의 모니터링 체계 구축이 필요하다. 또한 사고 발생 시 신속한 탐지·대응·복구 체계(Incident Response Plan)를 실제 작동 가능한 수준으로 고도화해야 하며, 이는 차기 ISMS-P 사후심사에서 핵심 점검 항목이 될 것으로 예상된다.

ISMS-P 심사원 체크포인트

1. 개인정보 안전성 확보조치 (ISMS-P 2.8.1~2.8.7)
- 개인정보의 암호화(2.8.4): 개인정보 DB 저장 시 암호화 적용 여부, 암호키 관리 체계의 적정성 확인 필요
- 접근통제(2.8.2): 개인정보 처리시스템 접근권한 관리, 불법적 접근 차단 대책의 실효성 점검
- 개인정보보호법 제29조(안전조치의무) 위반 여부 - 3954만 건 유출은 기술적·관리적 보호조치 전반의 중대한 미흡 사례로 과징금 및 형사처벌 대상

2. 취약점 점검 및 조치 (ISMS-P 2.6.3)
- 정보시스템 취약점 점검 주기 준수 여부, 발견된 취약점의 조치 완료율 및 이행 증적 확인
- 특히 '방치된 취약점'이 쟁점인 만큼, 취약점 발견 후 조치까지의 시간(SLA), 미조치 취약점의 위험도 평가 및 예외 승인 프로세스 검토 필수
- 개인정보보호법 제34조의2(개인정보 유출 통지 등) 준수 여부 - 유출 인지 후 5일 이내 정보주체 통지 및 개인정보보호위원회 신고 이행 확인

3. 개인정보 침해사고 대응 (ISMS-P 2.9.1~2.9.3)
- 침해사고 탐지 체계의 실효성: 3954만 건 유출을 사전 탐지하지 못한 모니터링 체계의 한계 분석
- 사고 대응 절차의 실제 작동 여부, 사고 발생 후 보상 프로세스의 적정성 및 2차 피해 방지 대책 수립 여부 점검

CPPG·ISMS-P 연계 포인트

개인정보 유출 통지 의무 (개인정보보호법 제34조의2)
개인정보처리자는 개인정보 유출 사실을 안 때로부터 5일 이내에 정보주체에게 ①유출된 개인정보 항목 ②유출 시점과 그 경위 ③피해 최소화 방법 ④대응 조치 및 피해 구제 절차를 통지해야 한다. 1000명 이상 유출 시 개인정보보호위원회 및 한국인터넷진흥원 신고 의무가 발생하며, 위반 시 과징금(매출액의 3% 이하) 부과 대상이다.

안전성 확보조치 기준 (개인정보보호법 시행령 제30조)
개인정보처리자는 ①관리적 조치(내부관리계획 수립, 접속기록 보관 등) ②기술적 조치(암호화, 접근통제, 보안프로그램 설치 등) ③물리적 조치(출입통제, 잠금장치 등)를 통해 개인정보의 안전성을 확보해야 한다. ISMS-P 인증 사업자는 이를 체계적으로 이행하는 관리체계를 구축·운영해야 하며, 특히 100만 명 이상 정보주체의 개인정보를 처리하는 정보통신서비스 제공자는 인증 의무 대상자로서 더 엄격한 기준이 적용된다.