티빙 개인정보 유출 (2) — CI·DI 까지 새어 나간 2차 피해

Tech News 2026년 06월 12일

지난 6월 3일 티빙(TVING) 개인정보 유출 소식을 전해드렸는데요. 그 후속입니다. 이제 티빙이 본인별 유출 내역 조회를 열면서, 많은 이용자에게 CI·DI까지 유출된 사실이 확인되고 있어요.

CI·DI는 한번 빠져나가면 바꾸기 어려운 ‘본인확인 식별값’이라, 단순 아이디 유출과는 무게가 다릅니다. 무엇이 왜 위험한지, 그리고 지금 뭘 해야 하는지 정리해볼게요.

티빙(TVING) 로고 — 출처: TVING

무슨 일이 있었나 (후속 정리)

6월 3일 티빙은 회원 개인정보 유출을 공식 공지했어요. 이후 본인 조회 서비스가 열리고 조사가 진행되면서, 사건의 윤곽이 더 또렷해졌습니다.

티빙이 웹·앱 메인에 ‘개인정보 유출 조회 안내’ 창을 띄우고 계정별 유출 항목 확인 서비스를 시작
일부 이용자 조회 결과 아이디·이름·생년월일·성별과 함께 CI·DI, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호, 접속 IP·지역까지 안내됨
뉴스핌 등은 가입자 700만 명 규모의 OTT에서 벌어진 ‘CI까지 털린’ 사고로 보도(다만 가입자 규모이며 실제 피해 회원 수는 조사 중)
6월 11일 법무법인 지향이 이용자 1,051명을 대리해 손해배상 청구 소송을 제기(1인당 위자료 30만 원 우선 청구)

이번 사태의 핵심이에요. CI(연계정보)는 온라인 본인확인 과정에서 여러 서비스에 흩어진 같은 사람을 식별하는 값이고, DI(중복가입확인정보)는 한 서비스 안에서 중복 가입 여부를 가리는 값입니다.

둘 다 주민등록번호를 바탕으로 만들어지는 고유 식별값인데, 문제는 이용자가 임의로 바꿀 수 없다는 점이에요. 비밀번호는 바꾸면 그만이지만, CI·DI는 그렇지 않거든요.

그래서 CI·DI가 이름·연락처 같은 다른 정보와 결합되면 명의 도용·피싱·계정 탈취 같은 2차 피해로 번질 위험을 배제하기 어렵습니다. “유출돼도 비번만 바꾸면 되겠지”로 넘기기 어려운 이유예요.

티빙은 개별 고지(문자) 없이 조회 서비스로 갈음했어요. 즉, 내가 직접 확인해야 합니다.

조회 화면 캡처는 본인 계정 기준이라, 글에는 티빙 공식 화면을 직접 넣어 안내하시면 됩니다.

보도와 조사 정황을 종합하면, 외부 침입자가 개인정보가 저장된 DB(데이터베이스) 서버에 직접 접근해 파일을 빼낸 것으로 정리됩니다.

보도에 따르면 5월 30일 DB 직접 침입 → 5월 31일 티빙이 유출 인지 → 6월 1일 신고 → 6월 3일 공지의 흐름
공격자가 DB에 실제 쿼리를 실행한 정황이 확인됐고, 티빙은 사고 직후 AWS 액세스 키를 폐기하고 침해된 자격증명을 교체한 것으로 전해짐
정확한 취약점·침입 상세는 민관합동조사단 최종 결과가 나와야 분명해질 전망

과학기술정보통신부와 개인정보보호위원회는 이번 사고를 ‘중대 침해사고’로 보고, 한국인터넷진흥원(KISA)·포렌식·클라우드 전문가가 참여한 민관합동조사단을 가동 중이에요.

피해 규모가 크고 민감 정보가 포함된 만큼 파장도 넓어지고 있어요.

CI·DI는 못 바꿔도, 피해를 줄이는 조치는 지금 할 수 있어요.

티빙과 같은 아이디·비밀번호 조합을 쓰는 모든 서비스의 비밀번호를 즉시 변경 (크리덴셜 스터핑(credential stuffing) 공격 대비)
출처 불명 문자·메일의 링크·첨부는 열지 않기 (피싱·스미싱 주의)
명의 도용이 의심되면 개인정보침해 신고센터(국번없이 118)에 신고
사고 관련 문의·접수는 티빙 고객센터(1551-2391) 또는 tving@cj.net

바꿀 수 없는 식별값까지 유출됐다는 점에서 이번 사태는 가볍게 볼 일이 아니에요. 조회부터 비밀번호 변경까지, 오늘 한 번 점검해두시길 권합니다.