[뉴스토마토 이지은 기자] 티빙 침해사고로 3954만개 계정 정보가 빠져나간 것으로 확인됐지만, 이를 실제 개인정보 유출 피해자 수로 보기는 어려운 것으로 나타났습니다. 한 이용자가 여러 방식으로 가입한 중복 계정이 상당수 포함된 데다 본인인증을 거치지 않아 개인정보가 부정확한 계정도 다수 존재하기 때문입니다. 정부도 전체 계정에서 중복을 제거한 실제 이용자 규모를 특정하지 못하면서 최종 개인정보 유출 규모는 개인정보보호위원회 조사 결과를 지켜봐야 할 전망입니다.
3일 민관합동조사단에 따르면 티빙 침해사고로 유출된 계정은 총 3954만개입니다. 활성계정 2206만개뿐 아니라 휴면계정 850만개, 탈퇴계정 887만개, 테스트계정 11만개가 포함됐습니다.
서울 마포구에 위치한 티빙 사무실. (사진=뉴시스)
단순 계정 수만 놓고 보면 국내에서 발생한 주요 개인정보 유출 사고 가운데서도 큰 규모입니다. 2011년 SK커뮤니케이션즈 네이트·싸이월드 사고에서는 약 3500만명의 회원정보가 유출됐고, 2025년 쿠팡 침해사고 역시 민관합동조사단 조사에서 3367만여건의 이용자 정보가 유출된 것으로 파악됐습니다. 2014년 카드 3사 사고에서는 국민·롯데·농협카드를 합쳐 약 1억400만건의 정보가 유출됐습니다.
사고마다 발표 기준이 달라 숫자만으로 피해 규모를 단순 비교하기는 어렵습니다. 카드사 사고는 각 회사에서 유출된 정보 건수를 합산한 수치입니다. SK텔레콤 침해사고에서는 약 2696만건의 가입자식별번호(IMSI)가 유출된 것으로 조사됐지만 개인정보위 조사에서는 실제 영향을 받은 고객이 2300만명 이상으로 산정됐습니다. KT가 2014년 홈페이지 해킹을 당했을 당시에도 최초 유출 정보는 1170만여건이었지만 중복을 제거한 실제 가입자는 약 982만명이었습니다.
티빙 역시 비슷한 상황입니다. 조사단은 3954만개 계정 가운데 동일 이용자의 중복 계정이 다수 포함돼 있다고 밝혔습니다. 동일인을 식별할 수 있는 연계정보(CI)를 보유한 1904만개 계정을 분석한 결과 약 580만개가 중복 계정으로 확인됐습니다. 중복을 제거하면 1324만개입니다. 한 이용자가 티빙 자체 가입과 CJ ONE, 네이버·카카오 등 여러 가입 방식을 이용하면서 복수 계정을 만든 사례가 있었고, 동일인이 최대 13개 계정을 보유한 경우도 확인됐습니다.
중복 계정이 다수 발생한 배경에는 티빙의 가입자 관리 방식도 영향을 미친 것으로 조사단은 판단했습니다. 티빙은 자체 가입과 CJ ONE, SNS 간편가입 등 여러 가입 경로를 운영하면서 초기 성장 과정에서 동일 이용자의 중복 가입 여부를 확인하는 절차를 제대로 적용하지 않았습니다.
임정규 과학기술정보통신부 정보보호네트워크정책관은 이날 브리핑에서 "통상 하나를 가입하면 중복 체크를 해 다른 곳에 가입하지 못하도록 해야 하는데 티빙은 성장 과정에서 초기 중복성을 체크하지 않은 것으로 판단된다"며 "자체 가입 내에서도 중복 계정이 있을 수 있고 CJ ONE이나 네이버·카카오 등 여러 방식으로 동일인이 계속 가입할 수 있었다"고 설명했습니다.
나머지 CI 미보유 계정 2040만개는 정확한 중복 규모조차 산정하지 못하고 있습니다. CI 미보유 계정이 CI 보유 계정과 중복될 가능성이 있고, CI 미보유 계정끼리 동일인이 여러 계정을 만든 경우도 있을 수 있기 때문입니다. 임 정책관은 "CI를 보유하지 않은 2040만개 계정에 대해서는 중복 여부를 확인할 수 있는 방법을 찾지 못했다"며 개인정보보호위원회 조사 과정에서 보다 상세한 분석이 이뤄질 것이라고 밝혔습니다.
개인정보위는 계정별 유출 항목과 개인정보 유효성, 중복 여부 등을 추가 분석해 구체적인 개인정보 유출 규모를 확정할 예정입니다. 향후 제재 수위 역시 실제 개인정보가 유출된 이용자 규모와 유출 정보의 종류, 안전조치 의무 위반 정도 등을 종합적으로 따져 결정될 전망입니다.
최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 개인정보 유출 사고와 관련해 공식 사과를 하고 있다. (사진=뉴시스)
다만 실제 피해자 수가 3954만명보다 줄어들 가능성과 별개로 티빙의 보안관리 부실에 대한 책임은 남습니다. 티빙은 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 암호화하지 않은 평문 형태로 저장했습니다. 2024년 모의해킹에서 접속키를 소스코드에 노출하는 취약점을 발견하고도 개선하지 않았습니다. 비정상적인 데이터 흐름을 실시간 탐지·차단하는 보안체계도 갖추지 않은 것으로 조사됐습니다.
특히 개발 프로젝트 361건에는 운영환경에 접근할 수 있는 접속키 43개가 포함돼 있었고 공격자는 이 가운데 2개를 실제 침투에 이용했습니다. 조사단은 키 관리체계가 제대로 갖춰졌다면 개발환경 접근과 이후 운영환경 침투를 막을 수 있었고, 비정상 행위 탐지·차단체계가 구축돼 있었다면 대규모 이용자 정보 유출까지 이어지지 않았을 것으로 판단했습니다.
티빙은 조사 결과를 수용하고 정보보호 체계를 전면 재정비하기로 했습니다. 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고 보안 전문인력도 향후 5년간 현재의 3배 수준으로 늘릴 계획입니다. 최소권한 원칙을 적용한 제로트러스트 기반 보안체계를 구축하고 인공지능(AI) 기반 이상행위 탐지·실시간 대응체계도 강화합니다.
최주희 티빙 대표는 "이번 사고를 뼈아프게 반성하고 보안체계 전반을 근본부터 다시 세우겠다"며 "정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼겠다"고 말했습니다.
이지은 기자 jieunee@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지