티빙·우리은행 CI 포함 개인정보 대규모 유출, 외주관리 부실이 부른 2천만 명 피해

OTT 플랫폼 티빙에서 1,953만 명, 우리은행에서 1만7,551건의 개인정보가 유출되는 초대형 침해사고가 발생했다. 두 사고 모두 외주 협력사 보안 관리 부실이 원인으로 지목되며, 특히 주민등록번호 대체 식별자인 CI(연계정보)가 함께 유출돼 2차 피해에 대한 우려가 증폭되고 있다.

---

사례 분석

티빙: 역대 최대 규모 OTT 개인정보 유출

2026년 7월 티빙에서 발생한 이번 사고는 국내 OTT 서비스 역대 최대 규모의 개인정보 유출 사건으로 기록됐다. 유출 규모는 1,953만 명으로, 국내 OTT 이용자 상당수가 피해 대상에 포함된 것으로 추정된다.

문제의 발단은 티빙의 마케팅 업무를 담당하던 외주 협력사의 보안 시스템이었다. 해당 협력사는 고객 데이터베이스에 대한 접근 권한을 보유하고 있었으나, 기본적인 접근통제와 암호화 조치가 미흡했던 것으로 조사됐다.

우리은행: 금융권 신뢰 위기 재점화

같은 시기 우리은행에서도 1만7,551건의 개인정보 유출 사고가 발생했다. 금융기관의 특성상 민감한 금융정보가 포함됐을 가능성이 높아 피해자들의 불안이 커지고 있다.

우리은행 역시 IT 외주 협력사 관리 체계의 허점이 드러났다. 금융권의 강화된 보안 규정에도 불구하고 협력사에 대한 실질적인 보안 점검과 모니터링이 형식적으로 이뤄졌다는 지적이 나온다.

---

공통 패턴: CI 유출과 외주관리 부실

두 사고의 가장 심각한 공통점은 CI(Connecting Information) 유출이다. CI는 주민등록번호를 대체하기 위해 도입된 본인확인 식별자로, 온라인 서비스 간 동일인 여부를 판단하는 핵심 정보다. CI가 유출될 경우 여러 플랫폼에서 동일인의 정보를 연결·추적할 수 있어, 명의도용·보이스피싱·스미싱 등 2차 피해로 이어질 위험이 매우 높다.

또한 두 사고 모두 외주 협력사 관리 부실이라는 근본 원인을 공유한다. 위탁자인 티빙과 우리은행이 수탁사에 대한 관리·감독 의무를 제대로 이행하지 않은 것이다.

---

기업·기관 대응 방안

개인정보보호위원회는 두 기업에 대한 조사에 착수했으며, 위반 사항 확인 시 과징금 부과와 시정명령이 예상된다.

전문가들은 다음과 같은 대응 방안을 제시한다.

• 수탁사 보안 점검 실질화: 서면 점검을 넘어 현장 실사와 기술적 점검 병행
• 접근권한 최소화 원칙 적용: 업무에 필요한 최소한의 데이터만 제공
• CI 등 민감 식별자 암호화 강화: 유출 시에도 활용 불가하도록 조치
• 실시간 이상행위 탐지 체계 구축: 협력사 접근에 대한 모니터링 강화

피해자들은 개인정보 유출 여부를 각 기업 공지를 통해 확인하고, 명의도용 방지 서비스 가입 등 선제적 조치를 취할 필요가 있다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 처리 위탁 시 수탁자 관리·감독 의무 (개인정보보호법 제26조)

>

위탁자는 수탁자가 개인정보를 안전하게 처리하는지 정기적으로 관리·감독해야 하며, 이를 위해 ①교육 실시 ②처리 현황 점검 ③기술적·관리적 보호조치 확인 등을 수행해야 한다. 수탁자의 귀책사유로 발생한 손해에 대해 위탁자도 사용자 책임을 부담한다. ISMS-P 인증 기준에서도 '외부자 보안(2.3)'을 별도 통제 영역으로 규정하고 있어, 외주 협력사 보안 관리는 필수 점검 항목이다.

---

백남정 기자 security@privacy-news.kr