대형 플랫폼 연쇄 해킹, 티빙·GS 잇따라 뚫려…166만 명 정보 유출

---

국내 대표 OTT 플랫폼 티빙과 유통 대기업 GS리테일이 잇따라 해킹 공격을 받아 대규모 개인정보 유출 사고가 발생했다. 특히 GS 계열사에서만 166만 명의 고객 정보가 외부로 노출되면서 2차 피해 우려가 커지고 있다. 개인정보보호위원회가 조사에 착수한 가운데, 기업들의 보안 투자 실효성에 대한 근본적 질문이 제기된다.

---

티빙, 합병 앞두고 해킹 사고…신뢰도 타격

국내 1위 OTT 플랫폼 티빙이 해킹 공격으로 개인정보 유출 사고를 겪었다. 최주희 대표이사가 공식 사과문을 발표했으나, 정확한 유출 규모와 해킹 경로는 여전히 미공개 상태다.

문제는 이번 사고가 웨이브와의 합병 추진 과정에서 발생했다는 점이다. 양사는 글로벌 OTT와의 경쟁력 확보를 위해 합병을 서두르고 있었으나, 이번 사고로 인해 기업실사(Due Diligence) 과정에서 보안 체계 점검이 필수 항목으로 부각될 전망이다. 합병 일정의 지연은 물론, 기업 가치 산정에도 부정적 영향이 불가피하다.

GS SHOP·GS25, API 취약점 뚫려 166만 명 피해

GS리테일 계열사인 GS SHOP과 GS25는 더 심각한 상황에 직면했다. 주문정보 API의 취약점을 악용한 해킹 공격으로 총 166만 명(GS SHOP 158만 명, GS25 7만 명)의 개인정보가 유출된 것이다.

유출 항목에는 이름, 연락처 등 개인식별정보가 포함되어 있어 스미싱, 피싱 등 2차 피해 위험이 상당하다. 특히 유통 플랫폼 특성상 결제 정보와 연계될 경우 금전적 피해로 이어질 수 있다는 점에서 고객들의 불안이 가중되고 있다.

공통 패턴: API 보안의 구조적 취약성

두 사건에서 주목해야 할 공통점은 API(응용프로그램인터페이스) 보안 취약점이다. 현대 플랫폼 비즈니스는 다양한 서비스 연동을 위해 API에 의존하고 있으나, 이에 대한 보안 점검은 상대적으로 소홀했다는 지적이 나온다.

• 인증 토큰 관리 미흡: API 접근 권한 검증 부재
• 입력값 검증 부족: 비정상 요청 필터링 실패
• 로그 모니터링 한계: 이상 징후 실시간 탐지 체계 부재

기업·기관 대응 방안

전문가들은 다음과 같은 대응책을 제시한다.

첫째, API 보안 게이트웨이 도입과 정기적인 취약점 점검이 필수다. 둘째, 개인정보 유출 사고 발생 시 72시간 이내 신고 의무를 준수하고, 피해자 통지를 신속히 이행해야 한다. 셋째, 침해사고 대응 모의훈련을 통해 실전 대응력을 강화해야 한다.

개인정보보호위원회는 현재 두 사건에 대해 조사를 진행 중이며, 보호조치 위반이 확인될 경우 과징금 부과가 예상된다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 침해사고 신고·통지 의무 (개인정보보호법 제34조, 제39조의4)

>

개인정보처리자는 개인정보 유출을 인지한 때 지체 없이(72시간 이내) 개인정보보호위원회에 신고하고, 정보주체에게 유출 사실을 통지해야 한다. 통지 항목에는 ①유출된 개인정보 항목 ②유출 시점과 경위 ③피해 최소화 방법 ④대응조치 및 피해구제 절차 ⑤담당부서 연락처가 포함된다. 1천 명 이상 유출 시 신고 의무가 강화되며, 이를 위반할 경우 과태료 부과 대상이 된다.

---

백남정 기자 | 개인정보보호 전문