개발키 노출하고 취약점 방치…티빙 '총체적 보안 부실'(종합)

모든 개발자에 전체 프로젝트 접근…키 관리·통제 절차 미비모의해킹서 문제 알고도 미조치…이상징후 공유도 14시간 이미지 확대 티빙, 개인정보 유출 사고 사과 (서울=연합뉴스) 임화영 기자 = 최주희 대표이사(오른쪽 두 번째)를 비롯한 티빙 임원들이 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. 2026.9.3 hwayoung7@yna.co.kr (서울=연합뉴스) 유현민 기자 = 온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정 등을 포함해 3천954만개 계정이 유출된 배경에는 개발환경 접속키 관리부터 접근권한 통제, 이상징후 탐지·보고, 취약점 개선까지 정보보호 관리체계 전반의 부실이 있었던 것으로 조사됐다. 개발·운영환경 접속키를 소스코드에 평문으로 노출하고 모든 개발자에게 전체 프로젝트 접근 권한을 부여한 데다, 모의해킹에서 확인된 취약점도 개선하지 않았으며 이상징후 발생 후 보안팀 공유와 침해사고 신고까지 지연된 것으로 나타났다. ◇ 3천954만 계정 유출…개발키 평문 노출·모든 개발자에 전체 권한 과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하면서 "비활성 계정, 활성 계정, 테스트 계정 모두 유출된 것이 맞다"고 밝혔다. 조사 결과 외부로 유출된 계정은 중복을 포함해 총 3천954만개로 집계됐다. 로그인 가능한 활성 계정 2천206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 이미지 확대 최주희 대표이사, 티빙 개인정보 유출 사고 사과 (서울=연합뉴스) 임화영 기자 = 최주희 티빙 대표이사가 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. 2026.9.3 hwayoung7@yna.co.kr 실제 이용자 수가 아닌 계정 수여서 한 사람이 여러 계정을 보유한 경우 중복 집계되며, 한 사람이 최대 13개 계정을 가진 사례도 확인됐다. 그러나 이번 사고에서 단순히 계정 수가 많았던 것만이 문제가 아니었다. 조사단은 티빙의 보안관리 체계 곳곳에서 기본적인 통제 장치가 제대로 작동하지 않았다고 판단했다. 조사단에 따르면 티빙 개발자들은 개발·운영환경 접속키를 소스코드에 암호화하지 않은 채 그대로 노출하거나 사내 메신저 등을 통해 공유했다. 접근권한도 업무에 필요한 최소 범위로 제한하지 않고 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했다. 이 때문에 단 하나의 접속키가 탈취되더라도 모든 개...