티빙은 드라마보다 먼저 결말을 유출했다, 이번엔 이용자 신원 정보였다

티빙에서 외부 해킹으로 개인정보 유출 사고가 발생했다. 티빙은 3일, 전날인 2026년 6월 2일 이용자 개인정보를 저장하는 DB에 비인가 접근이 있었고 정보 유출 정황을 확인했다고 통지했는데, 이번에 조롱의 대상은 해커의 재능이 아니라 국내 최대 OTT가 자기 DB를 관리한 방식이다.

유출 항목을 보면 아이디, 이름, 생년월일, 성별에 더해 CI와 DI까지 포함됐다. 영상 추천은 취향 정도만 알면 되는데, 티빙은 이용자 식별 정보 풀세트까지 챙겨 두었다가 외부로 전송되게 만들었으니, 콘텐츠 플랫폼이라기보다 신원정보 보관 창고에 더 가까웠다.

물론 방어의 흔적이 아주 없진 않다. 휴대폰 번호 마지막 4자리 암호화, 이메일은 도메인을 뺀 ID 부분 암호화, 환불 계좌번호 암호화, 비밀번호는 단방향 암호화였다고 하니 제품에서 제품을 구성하는 대부분의 안심 요소를 제외하면 발표는 상당히 완성도 높았다.

문제는 신원 미상의 해커가 개인정보 저장 DB에 접속해 파일을 외부로 전송한 뒤에야 티빙이 공격자 IP를 차단하고 클라우드 접근 통제 정책을 바꾸고 DB 접속 모니터링을 강화했다는 점이다. 엔딩 크레딧이 올라간 뒤에야 상영관 출입문을 잠그는 운영을 두고 대응이 있었다고 적는 건 가능하지만, 잘했다는 말까지 붙이면 멍청하기 짝이 없다.

티빙은 추가 피해 확산 예방을 위한 보안 모니터링 강화와 이용자 피해구제를 위한 고객센터 운영도 안내했다. 참으로 다정하다. 이름, 생년월일, CI, DI가 나간 뒤 남은 서비스 경험이 CX팀 전화 1551-2391과 tving@cj.net이라니, 구독의 마지막 혜택이 상담 대기라는 점에서 고객 여정 관리만은 일관됐다.

국내 최대 OTT라는 표현은 원래 가입자나 영향력을 자랑할 때 쓰는 말이지, 유출 항목의 종류를 풍성하게 만들 때 쓰는 말이 아니다. 숫자가 빠진 덕분에 얼마나 많이 털렸는지는 아직 누구도 정확히 모르지만, CI와 DI가 등장하는 순간 이미 변명의 수준은 끝났다; 이건 보안 사고가 아니라 기본기 관리가 거지같았다는 고백에 더 가깝다.