티빙 개인정보 유출 피해 1,953만명…초기 추산보다 650만명 늘어

온라인동영상서비스(OTT) 티빙의 개인정보 유출 사고 피해 규모가 1,953만명으로 파악됐다. 이는 정부가 초기에 발표한 1,300만명의 잠정치보다 650만명 이상 늘어난 수치다. 정부가 유출 규모뿐 아니라 사고 인지 및 대응 과정의 적정성도 점검하는 가운데, 유출 정보 유형과 2차 피해 가능성에 대한 우려도 커지고 있다.

유출 규모 ‘역대 4번째’…피해 범위 확대

연합뉴스에 따르면, 더불어민주당 이정헌 의원이 개인정보보호위원회와 과학기술정보통신부로부터 제출받은 자료를 바탕으로 확인한 결과, 티빙 개인정보 유출 사고의 피해 규모는 현재까지 1,953만명으로 집계됐다.

이 규모는 국내 개인정보 유출 사고 중 쿠팡(약 3,756만명), 싸이월드·네이트(약 3,500만명), SK텔레콤(약 2,324만명)에 이어 역대 네 번째로 큰 수준이라고 의원 측은 밝혔다. 특히 초기 잠정치 대비 추정 피해가 크게 늘면서, 실제 영향 범위가 당초보다 더 넓었을 가능성이 제기된다.

유출된 정보 항목…CI·DI는 변경이 어려워 우려

자료에는 유출된 정보로 아이디와 이름, 생년월일, 비밀번호, 환불 계좌번호 등이 포함된 것으로 기재됐다. 또한 연계정보(CI)와 중복가입확인정보(DI)도 유출 항목에 포함되어 있는 것으로 나타났다.

특히 CI와 DI는 통상적으로 변경이 어렵고, 다른 서비스에서 계정을 식별하거나 명의도용 등에 활용될 소지가 있어 2차 피해 우려가 크다는 지적이 나온다. 정부 당국이 유출 정보의 실질적 위험도와 후속 피해 가능성을 함께 들여다봐야 한다는 목소리가 나오는 이유다.

가입자·이용자 수보다 큰 규모…정부, 배경 조사 착수

정부는 유출 규모가 티빙의 유료 가입자 수(약 500만명)와 월간활성이용자 수(MAU, 5월 기준 882만명)를 크게 웃도는 이유에 대해서도 조사 중인 것으로 전해졌다.

해당 과정에서는 탈퇴 회원이나 휴면 계정, 혹은 제휴 서비스를 통해 생성된 계정 정보까지 유출 대상에 포함됐는지 여부가 쟁점이 된다. 유출 방식이 단순 가입자 범위를 넘어설 가능성이 있는지, 혹은 데이터 처리 과정에서 더 넓은 계정군이 포함됐는지 확인하는 작업이 필요하다는 의미다.

인지·대응 적정성도 논란…티빙 “보호 조치 신속 시행”

정부는 유출 규모뿐 아니라 사고 인지 이후 대응 과정의 적정성도 점검한다. 이정헌 의원은 티빙이 5월 30일 이상 징후를 인지하고도 대용량 파일의 외부 전송 사실은 6월 2일에야 확인했다고 지적했다. 다만 이는 조사 과정에서 최종 확인될 사안이라고 의원 측은 전했다.

티빙 측은 사고와 관련해 고객에게 심려를 끼친 점을 사과하면서, 민관합동조사단이 사고 경위와 유출 규모, 영향 범위를 조사 중이며 고객 보호 조치를 신속히 시행하고 필요한 지원과 보상 등 책임을 다하겠다고 밝혔다. 아울러 재발 방지를 위해 보안 체계 전반을 점검·개선하겠다는 입장도 덧붙였다.

정보보호 당국 ‘총점검’…이용자 대응은 어떻게

이번 사고는 피해 규모가 ‘역대급’으로 커진 만큼, 향후 조사 결과가 개인정보보호 거버넌스와 보안 투자, 사고 대응 체계에 대한 후속 규제·제도 논의로 이어질 가능성이 있다. 특히 CI·DI처럼 변경이 어려운 식별 정보가 포함된 만큼, 금융·인증 서비스 연계까지 고려한 위험 관리가 강조될 전망이다.

이용자 입장에서는 유출이 확인된 계정의 비밀번호 변경과 계정 재사용 여부 점검, 비정상 로그인 징후 확인 등 실질적 보호 조치를 지속하는 것이 중요하다. 정부와 기업이 어떤 추가 안내와 보상 체계를 마련하는지도 관전 포인트다.

무엇이 다음 단계인가

향후 민관합동조사단의 조사 결과를 통해 △실제 침해 경로 △유출 데이터의 범위와 형태 △외부 전송 시점과 대응 절차 △2차 피해 확산 가능성 등이 보다 구체화될 것으로 보인다. 유출 규모가 가입자·활성이용자 수를 크게 상회한다는 점에서, 정부가 데이터 처리 및 계정 구성까지 포함한 전수 검증을 진행할지 여부도 주목된다.

또한 사고 이후 보안 체계 개선이 어떤 항목에서 어떻게 이뤄지는지—예컨대 접근 통제, 대용량 파일 외부 전송 차단, 이상 징후 탐지의 운영 수준—가 공개·점검될지에 따라 같은 유형의 사건 재발 방지 효과가 평가될 가능성이 크다.