티빙 3954만 계정 유출, 무엇이 털렸나 사실 정리

아침에 뉴스 알림 뜬 걸 보고 "내 계정도 포함인가" 싶어 검색하신 분이 많을 겁니다. 2026년 9월 3일 티빙(TVING)이 3954만 계정 규모의 개인정보 유출을 발표했습니다. 여기서는 발표로 확인된 내용만, 즉 유출 규모와 항목, 원인, 현재까지의 피해 확인 상황을 순서대로 정리합니다.

3954만이라는 숫자의 실제 구성

숫자만 보면 국내 인구에 육박해 보이지만, 계정 기준 집계입니다. 중복 계정이 많아 한 사람이 최대 13개까지 보유한 경우도 확인됐습니다. 즉 3954만 명이 아니라 3954만 계정입니다.

여기서 눈여겨볼 지점은 휴면·탈퇴 계정 1737만입니다. 서비스를 몇 년 전에 끊었더라도 데이터가 남아 있었다는 뜻이라, "나는 예전에 탈퇴했으니 상관없다"는 판단은 성립하지 않습니다.

유출된 정보는 20개 항목 70종

유출 항목은 20개 항목, 70종으로 발표됐습니다. 이름, 생년월일, 휴대폰번호, 이메일, 그리고 CI(연계정보)가 포함됩니다.

CI는 주민등록번호를 대체해 각 서비스가 동일인을 식별하는 데 쓰는 연계정보 값입니다. 이름·생년월일 같은 항목보다 덜 알려져 있지만, 성격상 가볍게 볼 항목은 아닙니다.

여기서 자주 오해가 생깁니다. "암호화됐다니 괜찮은 것 아니냐"는 반응인데, 비밀번호와 나머지 항목은 상황이 다릅니다. 비밀번호는 일방향 암호화라 원문으로 되돌릴 수 없지만, 휴대폰번호와 이메일은 암호화 키까지 함께 빠져나갔습니다. 암호화 여부보다 키가 함께 나갔는지가 핵심입니다.

개인정보만이 아니라 소스코드 361건도

이번 건이 통상적인 회원 DB 유출과 다른 부분입니다. 소스코드를 포함한 기술자산 361건도 함께 유출됐습니다. 개인정보와 핵심 개발 프로젝트가 동시에 넘어간 형태입니다.

원인은 개발자 접속키 관리 부실

발표된 원인은 개발자 접속키(access key) 관리 부실입니다. 공격자가 이 키를 통해 전체 개인정보와 핵심 개발 프로젝트에 접근했습니다.

접속키는 사람이 쓰는 아이디·비밀번호와 달리 프로그램이 시스템에 접근할 때 쓰는 자격증명입니다. 한 번 노출되면 그 키에 걸린 권한 범위 전체가 그대로 열립니다. 개인정보 DB와 개발 프로젝트가 한꺼번에 털린 배경도 여기에 있습니다.

2차 피해와 관련해 확인된 사실

현재까지 2차 피해는 확인되지 않았습니다. 이건 "피해가 없다"가 아니라 "지금 시점까지 확인된 바 없다"는 의미로 읽는 게 정확합니다.

주의할 점은 이런 사건 뒤에 따라붙는 정보들입니다. 유출 명단을 확인해준다거나 보상금을 안내한다는 식의 출처 불명 링크·문자는 이번 발표에 포함된 내용이 아닙니다. 안내는 티빙 공식 채널(https://www.tving.com)과 공식 공지를 통해 확인하는 편이 낫습니다. 확인되지 않은 경로로 도는 수치나 명단을 근거로 판단하지 않는 것이 지금 단계에서 가장 현실적인 대응입니다.

자주 묻는 질문(FAQ)

Q. 3954만 계정이면 이용자 3954만 명이 피해를 본 건가요?

A. 아닙니다. 계정 기준 집계이며 중복 계정이 많아 한 사람이 최대 13개까지 보유한 사례가 확인됐습니다. 실제 인원은 계정 수보다 적습니다.

Q. 비밀번호가 암호화돼 있었다면 안전한 건가요?

A. 비밀번호는 일방향 암호화라 복호화가 불가능합니다. 다만 휴대폰번호와 이메일은 암호화 키와 함께 유출됐기 때문에 항목별로 상황이 다릅니다.

Q. 예전에 탈퇴한 계정도 유출 대상인가요?

A. 발표된 3954만 계정에는 휴면·탈퇴 계정 1737만이 포함돼 있습니다. 활성 계정 2206만, 테스트 계정 11만과 함께 집계된 수치입니다.

티빙 3954만 계정 유출은 개발자 접속키 관리 부실로 이름·생년월일·휴대폰번호·이메일·CI 등 20개 항목 70종과 기술자산 361건이 함께 빠져나간 사건이며, 2차 피해는 현재까지 확인되지 않았습니다.