국내 대형 스트리밍 플랫폼 티빙(TVING)에서 발생한 대규모 개인정보 유출 사고가 업계 전반에 큰 충격을 주고 있다. 현재까지 알려진 피해 규모는 약 1,300만 명에 달한다. 이는 단순한 숫자를 넘어 국내 플랫폼 산업의 개인정보 보호 체계 전반을 되돌아보게 만드는 사건이다.

<개인정보 유출 사실 공지사항, 출처: 티빙 홈페이지>

티빙의 월간활성이용자(MAU)는 약 500만 명 수준으로 알려져 있다. 그런데 이번 유출 규모는 이를 2배 이상 웃돈다. 이는 현재 서비스를 이용 중인 회원뿐 아니라, 서비스 출시 이후 가입 이력이 있는 상당수의 전·현직 회원 정보가 영향을 받았을 가능성을 시사한다. 특히 장기간 로그인하지 않은 휴면 회원의 경우 피해 사실을 인지하기 어렵고, 연락처 변경 등으로 안내를 받지 못할 가능성도 있어 사후 대응에 더욱 어려움이 예상된다.

유출된 정보의 범위 또한 중요하다. 성명, 생년월일, 연락처, 이메일 주소 등 기본적인 식별 정보뿐 아니라 가입 이력, 결제 정보 일부, 시청 기록 등 서비스 이용 과정에서 생성된 데이터까지 포함됐다면 개인별 행동 패턴 분석과 정교한 프로파일링이 가능해질 수 있다. 이는 단순한 스팸 메시지 수신을 넘어 맞춤형 피싱, 보이스피싱, 사회공학적 공격 등 2차 피해로 이어질 위험을 높인다.

보안업계가 주목하는 지점은 공격 방식의 정교함이다. 일반적인 개인정보 유출 사고는 데이터베이스 전체를 대량으로 탈취하는 이른바 '덤프(Dump)' 형태가 많다. 그러나 이번 사고에서는 공격자가 장기간 내부 시스템에 접근한 상태에서 특정 조건에 맞는 데이터를 선별적으로 조회·추출했을 가능성이 제기되고 있다. 만약 사실로 확인될 경우 이는 탐지 회피를 목적으로 한 지능형 지속 위협(APT, Advanced Persistent Threat) 공격과 유사한 양상을 보일 수 있다.

침투 경로로는 공개 저장소에 노출된 AWS 인증키가 거론되고 있다. 개발 과정에서 코드에 포함된 클라우드 액세스 키가 외부에 노출됐고, 이를 공격자가 악용했을 가능성이 제기된 것이다. 이는 DevSecOps 관점에서 가장 기본적인 보안 통제가 실패한 사례로 평가된다. 시크릿 스캐닝(Secret Scanning), 코드 리뷰, 저장소 접근 통제 등 기본적인 보안 절차만 적절히 운영됐더라도 상당 부분 예방이 가능했을 것이라는 지적이 나온다.

다만 보안 전문가들은 AWS 키 노출만으로 핵심 개인정보 데이터베이스에 직접 접근하는 것은 현실적으로 쉽지 않다고 설명한다. 일반적으로 기업의 핵심 데이터베이스는 프라이빗 서브넷에 위치하며, VPN이나 배스천 호스트(Bastion Host)를 통해서만 접근이 가능하도록 구성된다. 따라서 실제 대규모 정보 유출이 발생했다면 단순 인증정보 탈취를 넘어 권한 상승(Privilege Escalation), 내부 네트워크 이동(Lateral Movement), 또는 과도한 IAM 권한 설정 등의 추가적인 보안 실패가 있었을 가능성도 함께 검토될 필요가 있다.

이번 사고의 심각성을 결정짓는 핵심 변수는 CI(Connecting Information) 유출 여부다. CI는 주민등록번호를 직접 저장하지 않는 대신 본인확인 과정에서 생성되는 암호화된 고유 식별값이다. 동일인이 여러 서비스에서 인증을 거치더라도 동일한 CI가 생성되기 때문에, 서로 다른 플랫폼 간 개인을 식별하고 연계하는 핵심 수단으로 활용된다.

문제는 CI가 금융, 통신, 전자상거래, 의료 등 다양한 인증 기반 서비스에서 폭넓게 사용된다는 점이다. 만약 CI가 유출될 경우 공격자는 다른 유출 정보와 결합해 특정 개인을 보다 정확하게 식별할 수 있으며, 신원 도용이나 비대면 금융 범죄 등으로 악용될 위험도 커진다.

더욱 심각한 것은 대응의 한계다. 비밀번호나 카드번호는 변경 또는 재발급이 가능하지만 CI는 개인의 고유 식별 체계에 기반한 값으로 사실상 변경이 어렵다. 따라서 실제 유출이 확인될 경우 장기간에 걸쳐 지속적인 위험이 발생할 수 있으며, 일반적인 개인정보 유출과는 차원이 다른 문제로 평가될 수 있다.

만약 CI 유출이 사실로 확인된다면 이번 사고는 단순히 하나의 플랫폼에 국한된 사건이 아니라 금융사기, 비대면 계좌 개설 악용, 타 서비스 무단 가입 등 광범위한 연쇄 피해로 이어질 수 있다. 이는 개인이 스스로 자신의 디지털 신원을 보호하는 데 한계가 있다는 점에서 사회 전체가 함께 대응해야 할 문제로 확장된다.

이번 사태는 반복되는 개인정보 유출 사고에 대한 제도적 한계도 다시 한번 드러냈다.

현행 개인정보보호법 체계에서는 기업이 유출 사실을 통지하고 재발 방지 대책을 마련하며 과징금이나 손해배상 절차를 진행하는 것으로 대응이 마무리되는 경우가 많다. 반면 피해자는 실제 손해를 입증하기 위해 시간과 비용, 전문성을 부담해야 한다. 이 과정에서 상당수 피해자가 권리 구제를 포기하는 것이 현실이다.

이러한 문제를 해결하기 위해 시민단체들은 집단소송제 확대 도입을 요구하고 있다. 집단소송제는 동일한 피해를 입은 다수의 피해자가 대표 소송인을 통해 공동으로 권리를 행사할 수 있도록 하는 제도다. 개인이 입증 책임을 홀로 부담하지 않아도 된다는 점에서 개인정보 유출 사고에 대한 실질적인 구제 수단으로 평가받는다.

한편 정부는 과학기술정보통신부와 한국인터넷진흥원(KISA)을 중심으로 민관합동조사단을 구성하고 사고 원인 규명에 착수했다. 향후 조사 결과에 따라 클라우드 환경의 접근 통제 기준 강화, 개인정보 보유 및 파기 정책 재정비, 플랫폼 기업 대상 정기 보안 감사 의무화 등 다양한 제도 개선 논의가 본격화될 것으로 전망된다.

만약 관리자 권한 탈취와 CI 유출 등이 사실로 확인된다면, 이번 티빙 사태는 단순한 기업 보안 사고를 넘어 국내 플랫폼 산업 전반이 개인정보 보호 체계를 근본적으로 재설계해야 한다는 경고로 기록될 가능성이 크다. 이번 사건이 남긴 가장 중요한 교훈은 개인정보 보호가 더 이상 비용이나 선택의 문제가 아니라 기업의 존립과 사회적 신뢰를 결정하는 핵심 경쟁력이라는 점이다.

감사·내부통제 전문지 BLACK EDGE / 강호림 기자