티빙 개인정보 유출 사태, CI 털린 게 왜 이렇게 위험한가

티빙 개인정보 유출 소식을 접하고 "또 털렸네" 하고 넘겼다면 이번만큼은 다시 봐야 한다. 이름, 이메일, 생년월일 수준의 유출과는 차원이 다른 문제가 이번 사태에 포함되어 있기 때문이다. 핵심은 CI 값이 함께 유출됐다는 것이다. 이게 왜 위험한지 모르는 사람이 대부분이지만, 알고 나면 지금 당장 뭔가를 해야겠다는 생각이 든다.

티빙 개인정보 유출 사태, 실제로 무슨 일이 있었나

6월 1일, 티빙은 개인정보 유출을 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고했다. 개인정보위가 접수 후 조사에 착수한 건 3일, 경찰 수사는 4일부터 시작됐고 과기부와 방통위의 실태점검도 뒤따랐다.

신고 내용에 따르면 비정상적 접근이 시작된 시점부터 티빙이 이를 인지하기까지 약 21시간이 소요됐다. 하루 가까이 해킹이 진행되는 동안 회사는 몰랐다는 뜻이다.

유출 규모는 티빙의 월간 활성 이용자 전체를 포함하는 것으로 추정된다는 자료도 나왔다. 티빙 회원이라면 사실상 누구든 이번 사태의 당사자라고 봐야 한다. 더 황당한 건 따로 있다. KT 개인정보 유출 보상으로 티빙 쿠폰을 받아 신규 가입했던 KT 이용자들이, 보상안으로 받은 그 서비스에서 또 털린 것이다.

이름이나 이메일 유출과 CI 유출이 다른 이유

CI 값이 뭔지부터 짚어야 한다. 온라인에서 본인인증을 할 때 동명이인을 구별하기 위해 사용되는 고유 식별값이다. 쉽게 말해 온라인 주민등록번호다. 주민등록번호가 평생 바뀌지 않듯, CI 값도 바뀌지 않는다.

이름, 전화번호, 생년월일이 털렸을 때는 악용 범위가 어느 정도 제한적이다. 이미 많이 공개된 정보이고, 단독으로는 나를 특정하기가 어렵기 때문이다. 그런데 CI 값은 다르다.

해커가 다른 경로에서 이미 내 집 주소, 결제 계좌 정보를 확보한 상태라고 가정해보자. 그리고 이번 티빙 유출로 CI 값을 얻었다. 이 두 데이터는 원래 별개의 데이터베이스에 있어서 같은 사람의 것인지 알 방법이 없었다. 하지만 CI 값을 대조하면 100% 같은 사람임을 확인할 수 있다. 산발적으로 흩어져 있던 개인정보들이 마스터키 하나로 연결되는 구조다.

그 결과는 정교한 스미싱이다. 이름, 가입 서비스명, 실제 자택 주소, 사용 중인 계좌명까지 담긴 문자가 온다. "황경섭님, 고객님의 계정으로 해외 IP 접속이 확인되었습니다. 등록된 자택 주소로 보안코드를 발송할 예정이오니 아래 링크에서 주소가 맞는지 즉시 확인 바랍니다." 이런 문자가 내 실명과 실제 정보를 담고 오면, 스미싱이라고 의심하기가 훨씬 어려워진다.

기업은 처벌받는데, 유출된 내 정보는 어떻게 되나

최근 개인정보위가 쿠팡에 부과한 과징금은 약 6천억 원으로, 단일 개인정보 유출 사고 기준 역대 최대다. 그 전에는 SKT 과징금 약 1,300억 원이 최대였다. 티빙도 이 흐름에서 벗어나기 어렵다는 시각이 많다.

현행 개인정보보호법 기준으로는 매출액의 최대 3%까지 과징금을 부과할 수 있다. 티빙의 연 매출이 약 4천억 원 수준이므로, 3% 상한을 적용하면 최대 약 120억 원 수준이다. 개정안이 시행되면 최대 매출액의 10%까지 올라가지만, 이번 사고는 개정안 시행 이전에 발생했기 때문에 이전 기준이 적용될 가능성도 있다. 개정안은 시행될 경우 2026년 9월 11일부터 적용된다.

기업이 과징금을 내더라도, 유출된 CI 값은 되돌아오지 않는다. 한번 털린 정보는 다시 주워 담을 방법이 없다. 결국 지금 할 수 있는 건 피해를 최소화하는 것뿐이다.

지금 바로 해야 할 대처법 — 순서대로 확인해라

티빙 계정 비밀번호부터 바꿔야 한다. 그리고 같은 비밀번호를 쓰고 있는 다른 사이트도 함께 바꾸는 것이 맞다. "뒤에 특수문자 하나 붙이는" 방식은 해커들도 이미 알고 있는 패턴이므로, 완전히 새로운 비밀번호로 교체해야 한다.

명의 도용이 걱정된다면 엠세이프투(msafer.or.kr)에서 내 명의로 개설된 휴대폰 회선을 조회할 수 있다. 예상치 못한 회선이 개설되어 있는지 확인해볼 수 있다.

사용하지 않는 사이트가 많다면 개인정보포털(privacy.go.kr)에서 가입 중인 사이트 목록을 확인하고 탈퇴할 수 있다. 정보가 쌓여 있는 곳이 많을수록 유출 가능성도 높아지므로, 안 쓰는 서비스 정리는 선택이 아니라 필수다.

추가로 패스(PASS) 앱에서 명의도용 방지 서비스를 신청할 수 있고, 금융소비자정보포털 파인(fine.fss.or.kr)에서는 내 이름으로 개설된 계좌와 카드를 한꺼번에 조회할 수 있다. 모르는 계좌나 카드가 있다면 즉시 확인이 필요하다.

사람들이 놓치는 진짜 문제 — 유출은 티빙만의 이야기가 아니다

SKT, KT, LG유플러스, 쿠팡, CU. 최근 몇 년 사이 대형 개인정보 유출 사태가 이어졌다. SKT 사태 때는 나라가 뒤집혔지만, KT나 CU 유출은 많은 사람이 모르고 지나쳤다. LG유플러스도 심각한 유출 가능성이 있는 사건이 있었다. 이슈가 됐느냐 아니냐와 무관하게, 이미 여러 곳에서 내 정보는 상당 부분 털려 있을 가능성이 크다.

거기에 이번 티빙에서 CI 값까지 유출되면서 흩어진 정보들이 하나로 연결되는 조건이 만들어졌다. 더 이상 "이름이나 이메일 정도야"라는 안도감이 통하지 않는 상황이다.

근본적인 문제도 있다. 해외 서비스는 가입 시 이름과 이메일 정도면 충분하고 실명 확인도 요구하지 않는 경우가 많다. 반면 국내 서비스는 이름, 생년월일, 휴대폰 번호, CI까지 수집한다. 수집하는 정보가 많을수록 유출됐을 때 피해 범위가 커진다. 방통위는 주민번호와 CI 분리 보관 의무 시행 시점을 앞당겨 2027년 1월 1일부터 시행하기로 했지만, 과도한 정보 수집 관행 자체가 바뀌지 않으면 구조적 문제는 반복될 수밖에 없다.

개인이 아무리 조심해도 기업이 제대로 지키지 않으면 소용이 없다. 티빙은 대표 명의로 끝까지 책임지겠다고 밝혔지만, 어떤 방식으로 책임을 지는지는 앞으로 지켜봐야 할 부분이다. 지금 당장 할 수 있는 건 비밀번호 변경과 명의도용 조회다. 오늘 안에 하는 것과 미루는 것의 차이가 실제 피해로 이어질 수 있다.

---

더 많은 생활·인테리어·건축 정보는 kooreea.com에서 확인하세요.