스크립트 (본문 텍스트)
같은 뉴스, 네 가지 시선. AILENS입니다.
오늘은 2025년 7월 3일, 과기정통부가 정부서울청사에서 민관합동조사단의 티빙 침해사고 최종 조사 결과를 발표한 날을 기준으로 이야기합니다.
---
티빙에 가입한 적이 있다면, 지금 이 이야기는 남 얘기가 아닐 수 있어요.
5월 말 사흘 동안, 공격자는 티빙 내부 시스템 깊숙이 들어갔습니다. 이름, 생년월일, 휴대전화 번호, 비밀번호. 내가 가입할 때 입력한 것들이 그대로 빠져나간 거죠.
---
공격자는 어떻게 들어왔을까요.
티빙 개발자들이 쓰는 환경, 거기에 접속키가 있었어요. 소스코드 안에 숨김없이. 자물쇠 옆에 열쇠를 그냥 걸어둔 것처럼요. 공격자는 그 키를 가져다가 개발 프로젝트 삼백육십일 건을 뒤졌고, 운영 서버로 들어가는 문을 또 찾아냈습니다. 거기서 이용자 데이터베이스에 접근했고요.
사흘이었어요. 오월 이십구일부터 삼십일일까지. 그 안에 벌어진 일입니다.
---
그런데 이 대목에서 제가 좀 멈칫했어요.
티빙은 이미 알고 있었거든요. 2024년 모의해킹, 그러니까 실제 공격이 아니라 방어를 점검하는 훈련에서 이 문제가 발견됐습니다. 접속키가 소스코드 안에 노출돼 있다는 것. 그걸 확인했는데, 고치지 않았어요.
왜 안 고쳤는지는 지금 수사가 진행 중이라 아직 나오지 않았습니다. 다만 조사단은 그 사실을 확인했고, 과기정통부도 공개적으로 밝혔습니다.
---
유출 규모를 한번 실감해볼게요.
이번에 빠져나간 계정은 중복 포함 삼천구백오십사만 개. 이 중 지금 당장 로그인이 가능한 활성화 계정만 이천이백만 개가 넘습니다. 그리고 유출된 정보 항목이 이름, 전화번호, 비밀번호, 생년월일, 씨아이(CI) 등 무려 칠십 종에 달해요.
씨아이라는 건, 여러 서비스 사이에서 '이 사람이 그 사람이다'를 확인하는 암호화된 식별값이에요. 이게 넘어갔다는 건 단순히 티빙 계정만의 문제가 아닐 수 있다는 뜻이기도 합니다.
---
한 가지 뒤집어 생각해볼 게 있어요.
다크웹에서 이 데이터가 거래되는 정황은, 지금까지는 확인되지 않았다고 조사단이 밝혔습니다. 유출이 됐는데 아직 2차 피해는 없다는 거죠. 이걸 어떻게 받아들여야 할까요.
다행이다, 라고 할 수도 있어요. 근데 저는 그게 완전한 안도로 이어지지는 않더라고요. 없다는 게 확인된 게 아니라, 아직 발견되지 않은 것일 수 있으니까요. 데이터는 조용히 돌아다니기도 하거든요.
---
이번 사고에서 제가 계속 걸리는 건 '알고도 방치했다'는 부분이에요.
몰랐다면 미처 대비를 못 한 거고, 알았다면 선택을 한 겁니다. 그 선택이 어디서 왔는지, 티빙 내부의 어떤 구조가 그걸 가능하게 했는지. 수사 결과가 나와봐야 알겠지만, 이게 단순히 '보안팀이 실수한' 문제인지, 아니면 더 윗단계의 결정 문제인지는 계속 지켜봐야 할 것 같아요.
티빙은 2030년까지 정보보호 투자를 지금의 네 배로 늘리겠다고 했습니다. 피해 고객에게는 포인트와 안심 보험을 제공하기로 했고요. 대표가 직접 나와 머리를 숙였습니다.
발표는 나왔어요. 이제 이행을 지켜보는 시간이 남아 있는 거죠.
---
오늘 하나만 기억한다면 이거예요.
내 계정 정보가 유출됐을 가능성이 있다면, 같은 비밀번호를 쓰는 다른 서비스들도 지금 바꿔두는 게 좋아요. 티빙만의 문제가 아닐 수 있어서요.
티빙은 개인정보 유출 피해 확인 및 문의를 자사 고객센터와 개인정보 침해 신고센터를 통해 받고 있습니다. 개인정보보호위원회 개인정보 침해 신고센터는 국번 없이 182입니다.
---
같은 뉴스, 네 가지 시선. AILENS였습니다.
