과학기술정보통신부는 2026년 9월 3일 티빙(TVING) 침해사고에 대한 민관합동조사단의 조사 결과를 발표했다. 조사 범위는 키 탈취 경위, 공격자 침투 경로, 피해 규모 및 영향도 분석, 전사 차원의 정보보호 관리체계 점검 등이다.
공격자는 개발자가 보유한 ‘접속키’를 탈취해 티빙 내부 시스템에 침투했으며, 키 관리체계 미비, 비정상 행위 모니터링 체계 부재, 그리고 개발인력 대비 적은 정보보호 담당인력(4명 내외)·로그 관리 미흡·‘24년 모의해킹 취약점 미조치 등 전사 차원의 정보보호 관리체계 미흡이 사고 원인으로 지목됐다.
피해 규모는 기술자산과 이용자 정보로 나뉜다.
기술자산의 경우 소스코드가 포함된 티빙 개발 프로젝트 361건(30.35GB)이 유출됐다. 이용자 정보는 로그인이 가능한 활성화 계정 2,206만 건, 비활성화 계정 1,737만 건(휴면 850만 건, 탈퇴 887만 건), 테스트 계정 11만 건 등 총 3,954만 건의 계정 정보가 유출됐다.
계정은 자체가입 726만 건, CJ ONE 통합회원 863만 건, SNS 간편가입 2,247만 건 등 다양한 경로로 생성됐다. 유출된 개인정보는 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)이다.
비밀번호와 환불 계좌번호는 암호화돼 유출됐으나, 휴대전화번호와 이메일 주소는 암호화키와 함께 유출돼 복호화 가능 상태다. CI 보유 계정 1,904만 건은 평균 11개 항목, CI 미보유 계정 2,040만 건은 평균 5개 항목이 유출됐다.
정확한 개인정보 유출 규모는 개인정보보호위원회에서 확정할 예정이다.
티빙은 침해사고 인지시점(‘26.5.31 10:10)으로부터 24시간이 지난 이후 신고(’26.6.1 15:08)하여 정보통신망법상 신고 지연에 따른 과태료를 부과할 예정이다. 재발방지 대책으로 키 이력과 접근권한을 관리하는 체계 구축, 비정상 행위 탐지 및 모니터링 체계 강화, 정보보호 인력과 예산 확보, 로그 저장관리 정책 수립, 취약점 조치 강화 등이 추진된다.
정부는 기존에 발표된 기업의 책임성 및 정보보호 역량 강화를 위한 정보보호 종합대책을 차질없이 이행할 계획이다.
국민 밀접 분야 대상 보안점검, ISMS·ISMS-P 인증제도 개선, 보안 취약점 신고·조치·공개제도 시범사업(CVD/VDP 제도) 등 후속조치를 추진한다. 중대·반복 위반에 대한 제재 강화, 정보보호 투자 확대, 정부의 선제적 사고조사 및 이행강제금 등 개인정보보호법(9.11 시행), 정보통신망법(10.1 시행) 개정 법안의 차질없는 시행과 현장 이행상황을 지속 점검할 예정이다.
