온라인동영상서비스(OTT) 티빙에서 이용자 개인정보 유출 사고가 발생했다. 가입자와 월간활성이용자수(MAU)를 끌어올리며 국내 OTT 시장 2위 탈환을 노리던 티빙으로서는 성장세에 찬물을 맞은 셈이다. 

티빙은 지난 3일 개인정보 유출 사실을 공지했다. 회사는 2026년 6월 2일 이용자 개인정보를 저장하는 데이터베이스(DB)에 비인가 접근이 이뤄졌고, 신원 미상의 해커가 개인정보 파일을 외부로 전송한 것으로 확인됐다고 밝혔다. 

유출 항목은 아이디, 이름, 생년월일, 성별, CI, DI, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호, 서비스 이용 관련 정보 등이다. 휴대전화번호는 마지막 4자리가 암호화됐고, 이메일은 도메인을 제외한 ID 부분이 암호화됐다. 환불 계좌번호는 암호화, 비밀번호는 단방향 암호화된 상태였다고 티빙은 설명했다. 주민등록번호와 결제 관련 정보는 유출 대상이 아니라고 밝혔다. 

이번 사고는 티빙이 이용자 확대에 속도를 내던 시점에 발생했다. 모바일인덱스에 따르면 티빙의 지난 5월 MAU는 881만8314명으로 전월 대비 14.4% 증가했다. 같은 기간 쿠팡플레이와의 MAU 격차도 약 30만명 수준까지 좁혀졌다. 

올해 1분기 티빙 가입자는 전년 동기 대비 37.3% 증가했고 매출도 889억원에서 1073억원으로 늘었다. 콘텐츠 경쟁력으로 이용자를 끌어모으던 시기에 개인정보 관리 논란이 불거진 것이다. 

보상으로 받은 티빙서 다시 유출 

이번 사고가 특히 이용자들의 냉소를 부른 이유는 앞선 KT 침해사고 보상 프로그램과 맞물려서다. KT는 고객 보상 차원에서 티빙 또는 디즈니+ 이용권 등을 제공했고 일부 이용자들은 이를 통해 티빙 서비스를 이용하게 됐다. 

즉 이용자 입장에서는 정보 유출 피해 이후 받은 보상이 다른 플랫폼 이용으로 이어졌고 그 플랫폼에서도 다시 유출 사고가 발생했다는 점에서 불신이 커질 수밖에 없는 것이다. 

온라인 커뮤니티와 SNS에서는 티빙 유출 공지 이후 “KT 보상으로 티빙을 보고 있었는데 티빙에서도 개인정보가 유출됐다”, “정보유출 2배 이벤트”, “이 정도면 개인정보가 공공재 아니냐”는 날선 반응이 이어졌다. 반복되는 개인정보 유출 사고에 대한 이용자들의 불신과 피로감이 커지고 있다는 반응도 나온다. 

개인정보 유출 사고의 문제는 한 번 발생하는 데서 끝나지 않는다는 점이다. 비밀번호처럼 즉각 변경이 가능한 정보도 있지만 이름이나 생년월일, 휴대전화번호, CI·DI처럼 사실상 바꾸기 어려운 정보도 적지 않다. 특히 여러 서비스에서 유출된 정보가 결합될 경우 스미싱이나 피싱, 계정 탈취 등 2차 피해로 이어질 가능성도 커진다. 

개인정보 유출 사고, 왜 반복될까 

최근 개인정보 유출 사고는 티빙에 그치지 않는다. CU 편의점 택배를 운영하는 BGF네트웍스도 지난 4일 신원 미상의 해커가 시스템에 비인가 접근해 개인정보를 유출한 정황을 확인했다고 공지했다. 

OTT, 편의점 택배, 유통·플랫폼 서비스처럼 일상적으로 이용하는 서비스가 잇따라 공격 대상이 되면서 이용자 불안은 더 커지고 있다. 

개인정보 유출 신고도 증가세다. 개인정보보호위원회와 한국인터넷짆으원에 따르면 2025년 접수된 개인정보 유출 신고는 총 447건으로 전년(307건)대비 45.6% 늘었다. 원인별로는 해킹이 276건으로 전체의 62%를 차지해 가장 많았다. 업무 과실은 110건, 시스템 오류는 24건이었다. 

해킹 사고의 유형도 다양해지고 있다. 개보위는 랜섬웨어와 웹셸 등 악성코드, SQL 인젝션과 파라미터 변조 등 웹 취약점 악용, 관리자 페이지 비성상 접속 등을 주요 유형으로 꼽았다. 외부 공격이 고도화되는 가운데 기업의 접근통제, 보안 업데이트, 백업 체계, 개인정보 암호화 등 기본적인 안전조치가 충분히 작동하고 있는지가 반복적으로 시험대에 오르는 셈이다. 

기업의 정보보호 투자가 충분한지도 쟁점이다. KISA 정보보호공시 종합포털에 따르면 티빙의 정보보호 투자액은 2023년 21억9667만원에서 2024년 18억3940만원, 지난해 17억6510만원으로 감소했다. 가입자와 이용자 규모가 늘어나는 상황에서 정보보호 투자가 줄었다는 점은 향후 사고 원인과 책임 범위를 따지는 과정에서 함께 들여다볼 대목이다. 

정부도 대응에 나섰다. 개보위는 지난 3일 오전 2시쯤 티빙으로부터 개인정보 유출 신고를 접수하고 조사에 착수했다. 자료제출 요구와 현장 조사 등을 통해 구체적인 유출 경위와 피해 규모, 안전조치 의무 및 유출 통지·신고 의무 등 개인정보보호법 준수 여부를 살필 계획이다. 법 위반 사항이 발견되면 관련 법령에 따라 처분한다는 방침이다. 

제도 강화도 추진 중이다. 개보위는 개인정보 유출 사고 예방과 대응을 강화하기 위해 개인정보보호법 시행령 개정안을 입법예고했다. 개정안에는 개인정보 보호책임자(CPO)의 권환과 독립성 강화, ISMS-P 인증 의무 대상 기준 마련, 개인정보 유출 가능성 단계부터 정보주체에게 통지하도록 하는 내용 등이 포함됐다. 

김다솜