[이데아 심층 분석] 티빙 3,954만 계정 정보 유출, 허술한 접속키 관리가 남긴 경고 / [IDEA Deep Dive] TVING’s 39.54 Million Account Breach: A Warning About Access-Key Management

[이데아 심층 분석] 티빙 3,954만 계정 정보 유출, 허술한 접속키 관리가 남긴 경고

티빙 침해사고 조사에서 중복을 포함한 3,954만 계정 정보와 개발 프로젝트 361건의 유출이 확인됐다. 실제 피해 인원은 아직 확정되지 않았지만, 하드코딩된 접속키와 늦은 내부 보고는 보안 관리의 기본이 왜 중요한지 보여준다.

 

3,954만 계정 정보 유출로 드러난 접속키 관리와 보안 통제의 빈틈.

 

1. 서론: 3,954만 명이 아니라 3,954만 계정이다

과학기술정보통신부 민관합동조사단이 확인한 유출 규모는 3,954만 697개 계정이다. 한 사람이 여러 계정을 보유한 사례가 있어 실제 피해자 수와 같지 않으며, 개인정보보호위원회가 세부 유출 규모를 별도로 확인하고 있다.

그럼에도 사고의 무게가 가벼워지는 것은 아니다. 이용자 개인정보뿐 아니라 추천·검색 알고리즘과 인증·결제 체계를 포함한 개발 프로젝트가 외부로 유출됐고, 2024년 모의해킹에서 확인한 접속키 노출 취약점도 개선되지 않은 것으로 조사됐다.

DATA
BREACH

티빙 침해사고 조사 핵심 수치

유출 계정: 중복 포함 39,540,697개
계정 구성: 활성 22,063,021개·비활성 17,370,853개·테스트 106,823개
기술자산: 소스코드가 포함된 개발 프로젝트 361건·30.35GB
핵심 원인: 접속키 하드코딩과 평문 저장, 과도한 접근권한, 취약점 미조치 및 탐지체계 부족

2. FACT CHECK: 조사에서 확인된 사실

유출 계정은 활성 계정 2,206만 3,021개, 휴면·탈퇴 등을 포함한 비활성 계정 1,737만 853개와 테스트 계정 10만 6,823개로 구성됐다.

비활성 계정에는 휴면 계정 약 850만 개와 탈퇴 계정 약 887만 개가 포함됐다. 동일인이 여러 계정을 보유할 수 있어 전체 계정 수를 실제 피해 인원으로 표현하면 안 된다.

유출 정보에는 아이디, 성명, 휴대전화번호, 이메일주소, 생년월일, 연계정보(CI), 중복가입확인정보(DI), 결제이력 등 20개 항목 70종이 포함됐다.

회원 비밀번호는 일방향 암호화돼 평문으로 복호화할 수 없는 상태였다. 일부 휴대전화번호와 이메일주소는 암호화돼 있었지만 암호화키가 함께 유출돼 조사단은 사실상 평문 유출과 같은 수준으로 평가했다.

소스코드가 포함된 개발 프로젝트 361건, 총 30.35GB가 유출됐다. 여기에는 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리와 유료서비스 운영에 관한 기술자산이 포함됐다.

개발 프로젝트에서 운영환경 접속키 43개가 확인됐고 이 가운데 41개는 소스코드에 직접 입력하는 하드코딩 방식으로 저장됐다. 공격자는 그중 2개를 실제 침입에 활용한 것으로 조사됐다.

회원 비밀번호가 소스코드에 하드코딩됐다는 의미는 아니다. 하드코딩 문제는 개발·운영환경에 접근하는 접속키 관리에서 확인됐다.

2024년 모의해킹에서 소스코드의 접속키 노출 취약점이 발견됐지만 개선되지 않았고, 외주를 제외한 정보보호 전담인력은 약 4명으로 조사됐다.

5월 30일 이상징후가 발생한 뒤 보안조직과 정보보호 최고책임자에게 상황이 전달되기까지 약 14시간이 걸렸다. 정부가 판단한 사고 인지 시점인 5월 31일 오전 10시 10분부터 KISA 신고 시점인 6월 1일 오후 3시 8분까지는 약 29시간으로, 법정 신고기한 24시간을 넘겼다.

과기정통부는 신고 지연과 관련해 정보통신망법에 따른 최대 3,000만 원 이하의 과태료를 부과할 예정이다. 개인정보 유출에 관한 개인정보보호위원회의 조사와 제재는 아직 확정되지 않았다.

여기까지가 확인된 자료를 통해 구분할 수 있는 사실이다.

3. [ I ] Issue: 사고 규모보다 먼저 봐야 할 세 가지 문제

접속키 관리 실패

운영환경 접속키가 소스코드에 직접 입력되거나 암호화되지 않은 상태로 저장됐다. 탈취된 개발환경 접속키 하나가 운영환경과 데이터베이스 접근으로 이어졌다.

불필요하게 넓은 피해 범위

활성 계정뿐 아니라 휴면·탈퇴 계정도 유출 범위에 포함됐다. 보유 목적과 파기·분리 관리가 적절했는지는 개인정보위의 추가 조사를 확인해야 한다.

탐지와 보고의 지연

첫 공격은 CPU 사용률 급증으로 차단됐지만 공격자는 다음 공격에서 부하를 낮춰 탐지를 피했다. 내부 전달과 정부 신고도 지연됐다.

4. [ D ] Detail: 공격자는 어떻게 운영환경까지 접근했나

개발환경 접속키에서 운영환경 접속키로

공격자는 사전에 탈취한 개발자의 개발환경 접속키를 이용해 내부 개발환경에 접근했다. 유출한 개발 프로젝트 안에서 운영환경 접속키를 추가로 확보한 뒤 클라우드 운영환경과 이용자 데이터베이스에 접근했다.

모든 개발자에게 전체 개발 프로젝트 접근권한이 부여된 구조도 피해 확대 요인으로 지적됐다. 최소 권한 원칙이 적용됐다면 하나의 접속정보가 노출되더라도 접근 가능한 범위를 줄일 수 있었을 가능성이 있다.

첫 공격은 감지했지만 두 번째 공격은 놓쳤다

5월 30일 첫 유출 시도에서는 데이터베이스 서버의 CPU 사용률이 100%까지 올라 이상징후가 감지됐고 관련 작업이 차단됐다. 공격자는 다음 날 별도 가상서버를 만들고 CPU 사용률을 10% 이내로 제한해 경보를 피한 것으로 조사됐다.

공격자는 약 24GB의 이용자 정보를 가상서버로 옮긴 뒤 외부 서버로 전송하고 해당 가상서버를 삭제했다. CPU 부하 중심의 단순 감시만으로는 비정상적인 대량 데이터 조회와 외부 전송을 충분히 포착하기 어렵다는 점이 드러났다.

CI는 비밀번호가 아니지만 민감한 식별정보다

CI는 온라인 본인확인 과정에서 같은 사람을 연계해 식별하는 정보다. 비밀번호나 인증키처럼 계정에 직접 로그인하는 자격증명은 아니므로 ‘디지털 마스터키’라고 단정하는 표현은 피해야 한다.

다만 성명, 전화번호, 이메일, 생년월일과 같은 정보가 함께 노출된 경우 정교한 사칭 연락이나 피싱에 활용될 위험이 있다. 조사 발표 시점까지 실제 이용자 피해나 불법 유통 정황은 확인되지 않았다.

5. [ E ] Evaluation: 확인된 영향과 아직 모르는 영향

영역	확인된 사실	아직 확인되지 않은 부분	IDEA 평가
개인정보	중복 포함 3,954만 계정에서 서로 다른 범위의 정보가 유출	중복을 제거한 최종 피해 인원과 계정별 세부 유출 범위	계정 수를 피해자 수로 확대하지 않고 개인정보위 조사 결과를 기다려야 한다.
기술자산	추천·검색 알고리즘 등을 포함한 개발 프로젝트 361건 유출	유출 코드의 실제 악용이나 경쟁 서비스 복제 여부	추가 위험은 존재하지만 후속 공격이나 복제가 발생했다고 단정할 수 없다.
법적 책임	신고 지연에 대해 최대 3,000만 원 이하 과태료 부과 예정	개인정보위의 최종 제재, 손해배상 규모와 보험 보상 범위	확정되지 않은 과징금과 소송액을 미리 계산해서는 안 된다.
기업 영향	재발 방지 계획 제출과 이행점검이 예정됨	합병 협상, 기업가치와 주가에 대한 직접적 인과관계	주가나 합병 영향을 주장하려면 별도의 공시와 시장자료 검증이 필요하다.

6. IDEA 독립 분석

분석 1: 사고의 핵심은 고도의 공격기법보다 기본 통제의 연쇄 실패다

접속키 하드코딩, 광범위한 프로젝트 접근권한, 2024년 취약점 미조치와 단순 지표 중심의 감시가 하나의 공격 경로로 연결됐다. 개별 문제 하나보다 여러 통제 실패가 동시에 남아 있었던 점이 피해를 키운 것으로 보인다.

현재 판단: 보안 솔루션의 수보다 접속정보 관리, 최소 권한과 취약점 조치의 실제 운영 여부가 더 중요한 사건이다.

판단 변경 조건: 향후 이행점검에서 접속키 관리와 접근권한 체계가 실질적으로 개선됐는지 확인해야 한다.

분석 2: 3,954만이라는 숫자보다 계정별 데이터 조합이 중요하다

계정별 가입 방식과 본인인증 여부에 따라 유출 항목이 달랐다. 동일인이 여러 계정을 보유한 사례도 있어 전체 계정 수만으로 개인별 위험도를 계산하기 어렵다.

현재 판단: 최종 위험은 실제 피해 인원, 유출 항목의 조합과 해당 정보의 최신성에 따라 달라질 수 있다.

판단 변경 조건: 개인정보위가 중복을 제거한 피해 규모와 계정 유형별 유출 범위를 확정해야 한다.

분석 3: 첫 경보 이후의 대응이 피해 확산 여부를 갈랐다

첫 공격은 CPU 부하 경보로 차단됐지만 공격 경로 전체를 신속히 봉쇄하지 못한 사이 다음 공격이 이어졌다. 내부 전달에 약 14시간이 소요된 점은 기술 탐지와 조직 대응이 분리돼 있었다는 신호로 읽힌다.

현재 판단: 침해 대응 체계는 경보 발생뿐 아니라 권한 회수, 접속키 폐기와 업무 책임자 보고까지 연결돼야 한다.

판단 변경 조건: 재발 방지 계획에서 경보 이후의 자동 차단과 의사결정 절차가 구체적으로 공개되는지 확인할 필요가 있다.

7. 반대 증거와 분석의 한계

이 판단이 틀릴 수 있는 조건은… 추가 조사에서 실제 피해 인원이 계정 수보다 현저히 적고, 유출 정보의 상당 부분이 유효하지 않거나 추가 악용 가능성이 제한적인 것으로 확인되는 경우다.

• 3,954만은 실제 사람 수가 아니라 중복을 포함한 계정 수다.
• 계정마다 유출된 정보의 종류와 개수가 같지 않다.
• 비밀번호는 일방향 암호화돼 평문 복호화가 불가능한 것으로 조사됐다.
• 조사 발표 시점까지 실제 이용자 피해나 불법 유통 정황은 확인되지 않았다.
• 개인정보위의 최종 유출 규모와 제재 결과는 아직 발표되지 않았다.
• 집단소송 규모, 보험 한도, 합병 무산과 주가 영향은 확인된 조사 결과에 포함되지 않았다.

8. [ A ] Account Check: 이용자가 확인할 보안 항목

과장된 공포보다 기본 보안 상태를 점검한다

1. 공식 공지 확인: 티빙과 관계기관이 공개한 유출 안내에서 해당 계정의 유출 항목과 후속 조치를 확인한다. 출처가 불분명한 피해보상 문자나 로그인 해제 링크는 공식 공지와 대조한다.
2. 재사용 비밀번호 점검: 티빙과 같은 비밀번호를 다른 서비스에서도 사용했다면 해당 서비스의 비밀번호 재사용 여부를 점검한다. 회원 비밀번호는 일방향 암호화 상태였지만 재사용 관리 자체는 별도의 보안 문제다.
3. 다중 인증 확인: 이메일과 주요 포털처럼 다른 계정의 복구 수단이 되는 서비스에서 다중 인증과 최근 로그인 기록을 확인한다.
4. 사칭 연락 구분: 이름, 전화번호나 가입 경로를 알고 있다는 이유만으로 연락을 신뢰하지 않는다. 결제정보나 인증번호를 요구하는 경우 해당 서비스의 공식 앱이나 홈페이지에서 직접 확인한다.

9. 다음 확인 일정

시점	확인 사항	판단 기준
2026년 9월 중	티빙 재발 방지 대책 이행계획 제출	접속키 관리, 최소 권한, 이상행위 탐지와 정보보호 인력 보강 계획
2026년 10~12월	개선조치 이행 기간	계획이 실제 시스템과 조직 운영에 반영되는지 여부
2027년 1월 이후	과기정통부 이행점검	보완이 필요한 사항과 시정조치 여부
공식 발표 확인 필요	개인정보위 조사 결과	중복 제거 피해 인원, 법 위반 여부와 최종 제재

10. 핵심 3줄

1. 유출 규모는 3,954만 명이 아니라 중복을 포함한 3,954만 697개 계정이다.
2. 회원 비밀번호가 아니라 운영환경 접속키의 하드코딩과 관리 부실이 주요 침입 경로로 확인됐다.
3. 확정되지 않은 소송액이나 기업가치보다 개인정보위의 최종 조사와 재발 방지 대책 이행 결과를 확인해야 한다.

IDEA 한 줄 결론: 티빙 사고는 거대한 숫자만의 문제가 아니라 접속키 관리, 최소 권한, 탐지와 보고체계가 함께 무너질 때 피해가 어디까지 확대될 수 있는지를 보여준 사건이다.

출처

• 개인정보보호위원회 — 티빙 이용자 개인정보 유출 사고 관련 조사 착수, 2026년 6월 4일
• 한겨레 — 과기부 티빙 침해사고 조사 결과 보도, 2026년 9월 3일
• 뉴스1 — 티빙 계정 정보 및 개발 프로젝트 유출 조사 결과, 2026년 9월 3일
• 비즈니스포스트 — 과기정통부 티빙 침해사고 조사 결과, 2026년 9월 3일

면책조항
이 글은 공개된 정부 발표와 관련 보도를 바탕으로 작성한 개인적인 보안사고 분석이다. 개인정보보호위원회의 최종 조사 결과와 제재는 달라질 수 있다. 개별 계정의 실제 유출 여부와 필요한 조치는 티빙 및 관계기관의 공식 안내를 통해 확인해야 한다.

TVING’s 39.54 Million Account Breach: A Warning About Access-Key Management

The reported total covers 39,540,697 accounts, including duplicates, rather than an equal number of individuals. The incident also exposed 361 development projects totaling 30.35GB, including recommendation, authentication and payment-related source code.

DATA
BREACH

Verified investigation findings

Accounts: 22,063,021 active, 17,370,853 inactive and 106,823 test accounts
Technical assets: 361 development projects totaling 30.35GB
Security failure: Production access keys were embedded in source code or stored without adequate protection.

What the investigation confirmed

Access keys, not member passwords, were hardcoded

Investigators found 43 production-environment access keys across the leaked projects. Forty-one were embedded directly in source code, and the attacker used two of the keys.

Member passwords were one-way encrypted and were not considered recoverable as plaintext. Some encrypted phone numbers and email addresses were exposed together with encryption keys.

The account total is not the number of affected people

The 39.54 million figure includes duplicate accounts. The Personal Information Protection Commission is separately reviewing the detailed number of affected individuals and the scope of the exposed information.

Detection and reporting were delayed

Internal escalation took about 14 hours after the initial abnormal activity. The government measured approximately 29 hours between the official recognition point and the report to KISA, exceeding the statutory 24-hour reporting period.

IDEA analysis

A chain of basic control failures expanded the incident

Hardcoded keys, broad developer access, an unresolved vulnerability identified in 2024 and limited monitoring combined into a single attack path.

What to verify: Whether remediation introduces proper key management, minimum access privileges and monitoring of abnormal data transfers.

The risk depends on the combination of exposed data

Different accounts contained different categories of information. The final risk assessment therefore depends on the number of unique individuals, the specific data combinations and whether the information remains current.

What would change this view: A final PIPC finding showing a materially different number of affected individuals or a narrower exposure scope.

Counter evidence and limitations

This assessment could change if... the final review finds substantially fewer unique individuals and limited practical exposure across most accounts.

• The reported figure counts accounts rather than unique individuals.
• Not every account contained the same categories of personal information.
• Member passwords were protected with one-way encryption.
• No confirmed user harm or illicit distribution had been identified when the investigation findings were announced.
• Final privacy penalties, lawsuit exposure and corporate consequences were not yet established.

Security checks

Focus on verified account security

1. Check official notices: Review breach information through TVING and government channels rather than links in unsolicited messages.
2. Review password reuse: Check whether the same password was used on other services.
3. Review multifactor authentication: Confirm protection and recent login activity on email and major portal accounts.
4. Verify unexpected requests: Do not treat knowledge of personal details as proof that a message is legitimate.

IDEA bottom line: The incident demonstrates how failures in key management, minimum access controls, monitoring and internal escalation can combine to expand a security breach.

Sources

• Personal Information Protection Commission — Investigation into the TVING Personal Data Breach, June 4, 2026
• Seoul Economic Daily — TVING Hack Exposes 39.54 Million Accounts, September 3, 2026
• The Korea Times — Investigation into the TVING Breach, September 3, 2026
• SBS News — TVING Account and Technical-Asset Exposure, September 3, 2026

Disclaimer
This article presents personal cybersecurity analysis based on publicly available government statements and reporting. The final number of affected individuals and regulatory penalties may change following the PIPC investigation. Account-specific exposure and recommended responses should be confirmed through official notices from TVING and the relevant authorities.

 

 

2026.09.03-[이데아 심층 분석] 러시아 규제 시행과 파키스탄 등록 기한, 글로벌 암호화폐 규제는 어디로 향할까? / [IDEA Deep Dive] Russia’s New Crypto Rules and Pakistan’s Registration Deadline: Where Is Global Regulation Heading?

[이데아 심층 분석] 러시아 규제 시행과 파키스탄 등록 기한, 글로벌 암호화폐 규제는 어디로 향

2026.09.01-[이데아 심층 분석] 포워드 가이던스 축소를 강조한 케빈 워시, 2026 잭슨홀이 바꾼 통화정책 소통 / [IDEA Deep Dive] Kevin Warsh Calls for Less Forward Guidance: How Jackson Hole 2026 Changed Fed Communication

[이데아 심층 분석] 포워드 가이던스 축소를 강조한 케빈 워시, 2026 잭슨홀이 바꾼 통화정책 소통