티빙 DB 해킹, OTT 업계 보안 허점 드러나…초동 대응 '3일 공백' 논란

---

국내 대표 OTT 플랫폼 티빙이 데이터베이스 해킹 공격을 받아 이용자 개인정보가 유출되는 사고가 발생했다. 사고 탐지에 3일, 이용자 통지에 4일이 걸리며 초동 대응 체계의 심각한 문제점이 드러났다. 개인정보보호위원회는 안전조치 의무 위반 여부에 대한 본격적인 조사에 착수했다.

---

사건 개요 및 경과

지난 5월 30일, OTT 플랫폼 티빙의 데이터베이스에 비인가 접근이 발생해 이용자 개인정보가 외부로 유출됐다. 문제는 사고 발생 이후의 대응 과정에서 불거졌다. 티빙 측은 해킹 발생 후 무려 3일이 지나서야 침해 사실을 인지했고, 이용자 통지까지는 4일이 추가로 소요됐다.

개인정보 보호법 제34조에 따르면 개인정보처리자는 유출 사실을 인지한 후 72시간 이내에 정보주체에게 통지해야 한다. 티빙이 탐지 후 4일 만에 통지를 완료했다면 이는 법정 기한을 초과한 것으로, 과징금 부과 사유에 해당할 수 있다.

OTT 업계의 구조적 보안 취약점

이번 사건은 급성장한 OTT 산업의 보안 인프라가 서비스 확장 속도를 따라가지 못하고 있음을 보여준다.

첫째, 탐지 체계의 부재다. 3일간 비인가 접근을 감지하지 못했다는 것은 실시간 이상행위 탐지 시스템(SIEM)이나 데이터베이스 접근 모니터링이 제대로 작동하지 않았음을 의미한다.

둘째, 침해사고 대응 프로세스의 미흡이다. 인지 후 통지까지 4일이 걸린 것은 사전에 수립된 침해사고 대응 계획(Incident Response Plan)이 없거나 실효성이 부족했기 때문으로 분석된다.

셋째, 대규모 이용자 데이터 관리 역량 문제다. 수백만 명의 결제 정보, 시청 이력, 로그인 정보를 보유한 OTT 플랫폼은 금융권 수준의 보안 체계가 요구되지만, 현실은 이에 미치지 못하고 있다.

예상되는 제재와 기업 대응 방안

개인정보보호위원회는 안전조치 의무(법 제29조) 및 유출 통지 의무(법 제34조) 위반 여부를 중점 조사할 예정이다. 위반 사실이 확정될 경우 매출액의 최대 3% 과징금과 함께 시정명령, 과태료 등의 처분이 내려질 수 있다.

업계 전문가들은 OTT 기업들이 다음 사항을 시급히 보완해야 한다고 조언한다.

• DB 접근통제 강화: 최소 권한 원칙 적용 및 접근 로그 실시간 모니터링
• 침해사고 대응 모의훈련: 연 1회 이상 시나리오 기반 훈련 실시
• 24시간 보안관제체계 구축: 탐지-분석-대응 프로세스 자동화
• 암호화 수준 점검: 유출되더라도 2차 피해를 최소화할 수 있는 강력한 암호화 적용

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 유출 통지 의무 (개인정보 보호법 제34조)

>

개인정보처리자는 개인정보 유출 사실을 인지한 때로부터 72시간 이내에 정보주체에게 ①유출된 항목, ②유출 시점과 경위, ③피해 최소화 방법, ④대응조치 및 피해 구제 절차, ⑤담당부서 연락처를 통지해야 한다. 1천 명 이상 유출 시에는 개인정보보호위원회와 전문기관(KISA)에도 신고해야 하며, 위반 시 3천만 원 이하 과태료 부과 대상이 된다.

---

백남정 기자 | 개인정보보호 전문 데스크