과학기술정보통신부 민관합동조사단은 2026년 9월 3일 티빙 침해 사고 조사 결과를 발표했습니다. 계정 3,954만 개, 활성 계정 2,206만 개가 유출된 사고입니다. 조사 결과를 순서대로 읽으면 사고는 한 번의 실수가 아니라 세 단계의 관리 공백이 이어진 결과였습니다.
침해가 진행된 순서
- 2024년 모의해킹이 접속키 하드코딩 취약점을 지적했지만 조치되지 않았습니다.
- 2026년 5월 30일 개발환경 접속키가 탈취되어 개발 프로젝트 361건, 30.35GB가 유출되었습니다.
- 소스코드에 평문으로 있던 운영환경 접속키를 공격자가 확보했습니다.
- 5월 31일 운영환경과 클라우드를 거쳐 이용자 DB에 도달했습니다.
- 비밀번호와 계좌번호는 암호화되어 있었지만 암호화 키가 함께 유출되었습니다.
개발 인력 149명에 정보보호 전담 인력은 4명 내외였습니다. 접속키 발급·변경·폐기 절차가 없었습니다.
공백 1. 발견했지만 고치지 않았다
모의해킹은 취약점을 찾아냈습니다. 문제는 발견이 아니라, 고칠 때까지 배포를 세우는 장치가 없었다는 점입니다. 하드코딩된 접속키는 정적분석 도구의 기본 탐지 항목입니다. 커밋 전에 잡고, 남아 있으면 빌드를 막는 관문이 개발 파이프라인 안에 있었다면 2년 동안 그대로 있을 수는 없었습니다. 연 1회 점검 보고서는 이 역할을 하지 못합니다.
공백 2. 키가 코드 안에 있었다
운영환경 접속키가 소스코드에 평문으로 있었습니다. 조사단이 주문한 재발 방지 대책 1순위가 "키 이력 및 접근 권한 관리 체계 구축"이었습니다. 접속키를 코드가 아니라 금고에 두고, 프로그램이 필요할 때 꺼내 쓰며, 발급·교체·폐기가 전부 기록되는 구조가 필요합니다. 그러면 유출된 키는 다음 교체 주기에 무력화되고, 누가 언제 어떤 키를 꺼냈는지가 남습니다.
공백 3. 사람이 키를 들고 있었다
개발환경 접속키는 사람의 손에 있었기 때문에 탈취될 수 있었습니다. 접속 값을 사용자에게 주지 않고 시스템이 대신 넣어 주는 방식이면, 단말이 털려도 가져갈 키가 없습니다. 특히 외주 개발자와 협력사 인력의 접속은 허가된 시스템 하나에만 연결되고 세션 전체가 기록되어야 합니다.
한 사고, 세 단계, 각자의 역할
세 공백은 하나의 제품으로 메워지지 않습니다. 발견 단계는 코드 정적분석이, 보관 단계는 특권계정 금고가, 접근 단계는 원격 접근 통제가 각자 맡습니다. 어느 하나가 "이 사고를 막았을 것"이라고 말하는 것은 정확하지 않습니다. 티빙은 취약점을 이미 찾아냈고, 고치지 않았습니다. 논지는 발견이 아니라 "고칠 때까지 멈추는 것"이고, "키를 사람과 코드에서 떼어내는 것"입니다.
규제는 이미 바뀌었습니다
2026년 9월 11일 시행된 개정 개인정보보호법은 대규모 유출 기업에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있고, 10월 1일 시행 개정 정보통신망법은 정부의 선제적 사고조사 권한과 이행강제금을 신설했습니다. 티빙은 5월 31일 10시 10분에 인지하고 6월 1일 15시 08분에 KISA에 신고해 24시간을 넘겼습니다.
TDG는 Sparrow Enterprise로 발견 단계를, BeyondTrust Password Safe로 보관 단계를, BeyondTrust PRA로 접근 단계를 각각 지원합니다. 어디서부터 볼지는 우리 회사 보안 수준 진단하기로 정합니다.
출처: 과학기술정보통신부 민관합동조사단 조사 결과 발표(2026. 9. 3). 개인정보보호위원회 발표가 아니므로 인용 시 주의가 필요합니다.
