티빙 1,953만 건 유출부터 런던교통공사 해킹까지…'접근권한 관리 부실'이 키운 재앙

국내외 대형 침해사고가 연이어 터지면서 개인정보보호 체계의 근본적 허점이 다시 수면 위로 떠올랐다. 티빙에서 1,953만 건의 개인정보가 유출되어 CJ 계열사까지 피해가 확산됐으며, 영국에서는 런던교통공사 해킹 가담자들이 실형을 선고받았다. 두 사건 모두 '접근권한 관리 미흡'이라는 공통된 취약점을 드러냈다.

---

사례 1: 티빙 1,953만 건 유출, ISMS-P 인증도 무색

2026년 7월 OTT 플랫폼 티빙에서 발생한 개인정보 유출 사고는 단일 사고로는 국내 최대 규모 중 하나로 기록될 전망이다. 더 심각한 것은 피해가 티빙에 그치지 않고 통합 멤버십 CJ원(ONE)까지 확산됐다는 점이다.

과학기술정보통신부는 이번 사고를 '중대 침해사고'로 판단하고 개인정보보호법 위반 여부에 대한 본격 조사에 착수했다. 현재까지 드러난 주요 원인은 △접근권한 관리 미흡 △민감정보 암호화 미적용 △침해사고 탐지체계 부재 등이다.

특히 티빙이 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 기업이라는 점에서 충격이 크다. 인증 취득이 실질적인 보안 역량을 담보하지 못한다는 비판이 거세지고 있다.

---

사례 2: 런던교통공사 해킹, 스캐터드 스파이더 조직원 실형

영국에서는 악명 높은 해킹 조직 '스캐터드 스파이더(Scattered Spider)'의 핵심 멤버 2명이 각각 5년 6개월의 실형을 선고받았다. 이들은 런던교통공사(TfL) 시스템에 침투해 오이스터카드 환불 시스템의 개인정보를 유출한 혐의를 받는다.

이번 공격으로 런던교통공사는 자동화된 환불 시스템을 전면 중단하고 수작업 처리 체계로 전환해야 했다. 시민 불편은 물론, 막대한 운영 비용 증가가 불가피해졌다.

---

공통 패턴: 기본을 지키지 않은 대가

두 사건은 발생 국가와 산업 분야가 다르지만, 근본 원인은 동일하다.

구분	티빙	런던교통공사
핵심 취약점	접근권한 관리 미흡	내부 시스템 침투 허용
탐지 실패	침해사고 탐지체계 부재	공격 인지 지연
피해 확산	계열사(CJ원)까지 연쇄	공공서비스 마비

결국 '최소권한 원칙(Principle of Least Privilege)' 미준수, 이상행위 탐지 시스템 부재, 암호화 미적용이라는 기본적인 보안 수칙 위반이 대형 사고로 이어진 것이다.

---

기업·기관 대응 방안

1. 접근권한 주기적 재검토: 퇴직자·부서이동자 권한 즉시 회수, 최소권한 원칙 적용

2. 실시간 탐지체계 구축: SIEM·SOAR 등 보안관제 시스템 고도화, 이상징후 자동 알림

3. 암호화 전면 적용: 개인정보 저장·전송 시 암호화 의무화, 키 관리 체계 분리

4. 인증의 실효성 확보: ISMS-P 인증을 '취득'이 아닌 '유지·개선' 관점에서 운영

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.5.1 접근권한 관리]

>

정보자산의 접근권한은 업무 목적에 따라 최소한으로 부여하고, 권한 부여·변경·삭제 이력을 기록·관리해야 한다. 특히 정기적인 접근권한 검토(최소 반기 1회)를 통해 불필요한 권한을 식별·제거하는 절차가 필수다. 이번 티빙 사고는 해당 인증기준의 실무 적용 실패 사례로 출제 가능성이 높다.

---

개인정보보호 전문기자 백남정