티빙 개인정보 유출 3,954만 계정 확인…암호키까지 유출, 지금 해야 할 조치는?
티빙 개인정보 유출 사고의 최종 조사 결과가 2026년 9월 3일 공개되면서 중복을 포함해 약 3,954만 개 계정 정보가 유출된 것으로 확인됐습니다. 단순히 이름이나 이메일만 빠져나간 사고가 아니라 일부 개인정보의 암호화키와 개발 프로젝트 등 기술자산까지 유출된 것으로 조사돼 티빙 이용자라면 자신의 유출 항목을 확인하고 비밀번호 변경 등 2차 피해 예방조치를 해두는 것이 좋습니다.
티빙 개인정보 유출, 3,954만 ‘명’이 아니라 ‘계정’입니다
이번 발표에서 가장 먼저 정확하게 알아야 할 부분입니다.
과학기술정보통신부 민관합동조사단 조사 결과 이번 침해사고로 유출된 계정은 중복을 포함해 약 3,954만 개입니다.
세부적으로는 로그인이 가능한 활성화 계정 약 2,206만 개와 휴면·탈퇴 등 비활성 계정 약 1,737만 개, 테스트 계정 약 11만 개가 포함됐습니다.
따라서 이를 그대로 “3,954만 명의 개인정보가 유출됐다”고 표현하면 정확하지 않습니다.
한 사람이 여러 개의 계정을 가지고 있는 경우가 있기 때문입니다. 실제 조사 과정에서는 한 사람이 최대 13개 계정을 보유한 사례도 확인된 것으로 전해졌습니다.
즉 3,954만 개는 실제 피해자 숫자가 아니라 중복 계정을 포함한 유출 계정 규모로 이해해야 합니다.
어떤 개인정보가 유출됐나요?
개인정보보호위원회는 이미 2026년 6월 조사 착수 당시 유출 가능성이 확인된 개인정보 항목을 공개했습니다.
여기에는 아이디, 이름, 생년월일, 성별, CI·DI, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호 등이 포함됐으며 일부 항목은 암호화된 상태라고 밝혔습니다.
다만 모든 이용자에게 위 정보가 전부 동일하게 유출됐다는 뜻으로 받아들이면 안 됩니다.
계정별 보유정보가 다를 수 있기 때문에 본인에게 실제로 어떤 개인정보가 유출됐는지는 티빙이 제공하는 개별 안내를 기준으로 확인하는 것이 중요합니다.
이번 티빙 유출에서 ‘암호키’가 중요한 이유
이번 최종 조사에서 특히 눈에 띄는 부분은 개인정보뿐 아니라 시스템 내부의 기술자산까지 외부로 유출됐다는 점입니다.
조사 결과 소스코드 등이 포함된 개발 프로젝트 361건도 유출된 것으로 파악됐습니다.
또 휴대전화번호와 이메일 주소 등에 적용된 암호화키까지 함께 유출된 것으로 조사됐습니다.
암호화된 개인정보가 유출됐더라도 이를 보호하는 암호키가 안전하게 별도 관리된다면 개인정보를 곧바로 알아보기 어렵게 만드는 보호 효과를 기대할 수 있습니다.
그런데 데이터와 이를 보호하는 키가 함께 노출된다면 보호 효과가 약해질 수 있기 때문에 이번 사고에서 중요하게 봐야 할 부분입니다.
다만 이를 “티빙의 모든 암호화 데이터가 복호화됐다”고 확대해서 해석해서는 안 됩니다.
현재 공개된 조사 결과를 기준으로 유출된 데이터와 암호키의 구체적인 범위를 구분해서 보는 것이 정확합니다.
티빙 비밀번호도 그대로 유출됐나요?
이 부분은 특히 이용자들이 걱정할 수 있습니다.
개인정보위는 지난 6월 비밀번호가 유출 항목에 포함됐으며 일부 개인정보가 암호화돼 있었다고 발표했습니다.
9월 3일 공개된 조사 결과를 전한 보도에서는 비밀번호는 일방향 암호화돼 있었던 것으로 확인됐습니다.
일방향 암호화는 이메일이나 전화번호처럼 암호키를 이용해 원래 값으로 되돌리는 일반적인 양방향 암호화와는 성격이 다릅니다.
따라서 이번에 암호화키가 유출됐다는 이유만으로 “그 키로 티빙 비밀번호를 바로 복호화할 수 있다”고 설명하는 것은 정확하지 않습니다.
그렇다고 비밀번호를 그대로 사용해도 된다는 뜻은 아닙니다.
유출사고가 확인된 만큼 티빙 비밀번호를 변경하고, 같은 비밀번호를 다른 사이트에서도 사용했다면 해당 사이트의 비밀번호까지 각각 다른 것으로 변경하는 것이 안전합니다.
해커는 어떻게 티빙 내부로 들어갔나?
민관합동조사단 조사 결과에 따르면 공격자가 티빙 개발자의 접속키를 탈취해 내부 개발 환경에 침투한 것으로 파악됐습니다.
조사에서는 접속키 관리와 비정상적인 행위를 탐지하는 체계 등 내부 정보보호 관리에서도 미흡한 부분이 확인됐습니다.
따라서 이번 사고를 단순히 “이용자가 비밀번호를 잘못 관리해서 발생한 사고”로 봐서는 안 됩니다.
티빙 이용자가 지금 해야 할 일
먼저 티빙에서 본인에게 안내한 개인정보 유출 항목을 확인하는 것이 우선입니다.
그다음 티빙 비밀번호를 변경하고 동일하거나 비슷한 비밀번호를 사용하는 다른 서비스가 있다면 그곳도 각각 다른 비밀번호로 변경하는 것이 좋습니다.
특히 이번 유출 정보에는 이름·휴대전화번호·이메일 등 피싱이나 사칭에 활용될 수 있는 정보가 포함돼 있기 때문에 당분간 티빙 환불, 보상금 지급, 개인정보 유출 보상, 계정 확인 등을 사칭한 문자와 이메일을 주의해야 합니다.
문자로 받은 링크에서 비밀번호나 금융정보, 인증번호 입력을 요구한다면 링크를 누르기보다 티빙 공식 앱이나 홈페이지에 직접 접속해 확인하는 것이 안전합니다.
환불 계좌번호가 본인의 유출 항목에 포함됐다는 안내를 받은 경우에도 계좌번호만 유출됐다는 사실과 인터넷뱅킹 비밀번호·OTP 등이 유출됐다는 것은 구분해서 판단해야 합니다.
티빙에서 보상도 발표했습니다
티빙은 9월 3일 사고에 대해 공식 사과하면서 고객 보상과 보안 강화 계획도 발표했습니다.
발표된 보상에는 사이버 금융사기 등을 1인당 최대 300만원까지 보상하는 1년간의 안심보험, 프리미엄급 시청환경 업그레이드, 5,000원 상당 티빙 포인트, 그리고 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인쿠폰 중 하나를 선택할 수 있는 혜택 등이 포함됐습니다.
보상 패키지는 2026년 9월 7일부터 9월 30일까지 신청을 받고 10월 6일부터 적용될 예정입니다. 세부 신청 대상과 방법은 티빙 공식 앱과 홈페이지 공지를 확인하는 것이 좋습니다.
티빙은 보안투자도 확대하기로 했습니다
티빙은 이번 사고 이후 2030년까지 정보보호 투자 규모를 직전 5년 대비 약 4배로 확대하고, 보안 전문인력도 향후 5년간 현재의 3배 수준으로 늘리겠다는 계획을 발표했습니다.
제로트러스트 기반 보안체계 재구축과 보안조직 세분화 등도 추진할 예정입니다.
다만 이는 회사가 발표한 향후 재발방지 계획입니다. 실제 계획이 어느 수준까지 이행되는지는 앞으로 별도로 확인할 필요가 있습니다.
과징금이나 제재는 이미 결정됐나요?
아직 이 부분은 구분해서 봐야 합니다.
개인정보보호위원회는 2026년 6월 3일 티빙으로부터 개인정보 유출 신고를 접수한 뒤 조사에 착수했으며, 당시 유출 경위와 피해 규모뿐 아니라 안전조치 의무 및 유출 통지·신고 의무 등 개인정보보호법 준수 여부를 조사하고 법 위반사항이 발견되면 관련 법령에 따라 처분하겠다고 밝혔습니다.
9월 3일 발표된 것은 과학기술정보통신부 민관합동조사단의 침해사고 조사 결과입니다.
따라서 현재 단계에서 “티빙에 대규모 과징금이 부과될 예정이다”라고 확정적으로 쓰기보다는 개인정보위의 별도 조사와 향후 처분 결과를 지켜봐야 한다고 표현하는 것이 정확합니다.
탈퇴한 사람도 안심할 수 없는 이유
이번 유출 대상에는 현재 이용 중인 활성계정뿐만 아니라 휴면계정과 이미 탈퇴한 계정도 포함됐습니다.
따라서 “나는 티빙을 탈퇴했으니 상관없다”고 생각하기보다는 과거 티빙을 이용했던 사람도 본인의 유출 여부와 유출 항목에 대한 안내를 확인할 필요가 있습니다.
반대로 과거 티빙을 이용했다는 사실만으로 개인정보가 유출됐다고 단정할 수도 없습니다.
본인이 실제 유출 대상인지 확인하는 것이 먼저입니다.
3,954만 계정 유출에서 가장 중요한 것은 2차 피해 예방입니다
이번 사고는 중복 포함 약 3,954만 개 계정 정보와 개발 프로젝트 등 기술자산이 외부로 유출된 대규모 침해사고라는 점이 정부 조사로 확인됐습니다.
특히 이메일·휴대전화번호 등의 암호화키까지 함께 유출된 것으로 조사됐다는 점은 가볍게 볼 부분이 아닙니다.
다만 3,954만 개를 3,954만 명으로 표현하거나, 암호키가 유출됐다는 사실을 근거로 모든 비밀번호와 암호화 데이터가 복호화됐다고 확대해서도 안 됩니다.
티빙 이용자라면 지금은 본인의 유출 대상 및 항목 확인 → 티빙 비밀번호 변경 → 동일 비밀번호를 사용한 다른 서비스도 변경 → 의심스러운 문자·이메일 주의 → 9월 7일부터 보상 대상 및 신청방법 확인 순서로 대응하는 것이 현실적인 방법입니다.
현재 개인정보위 조사는 별도로 진행되고 있으므로 향후 법 위반 여부와 과징금 등 행정처분이 확정될 경우 그 결과도 추가로 확인할 필요가 있습니다.