2026년 티빙에서 발생한 대규모 개인정보 유출 사고 이후 클라우드 보안과 접속키 관리 문제가 핵심 쟁점으로 떠올랐습니다.
과학기술정보통신부 민관합동조사단은 공격자가 개발자의 개발환경 접속키를 이용해 내부에 침투한 뒤 소스코드에서 운영환경 접속키를 추가로 확보해 AWS 기반 운영환경과 데이터베이스까지 접근한 것으로 조사했습니다. 최종 조사에서는 활성·휴면·탈퇴 계정을 포함해 약 3,954만 개 계정과 기술자산 361건이 유출된 것으로 확인됐습니다.
티빙 클라우드 보안 사고는 어떻게 발생했을까?
개발환경 접속키 탈취가 침투의 시작점이었다
조사 결과 공격자는 2026년 5월 말 티빙 개발자가 사용하는 개발환경 접속키를 사전에 탈취해 개발환경에 접속했습니다.
이후 소스코드가 포함된 프로젝트를 확보했고, 그 안에 저장돼 있던 운영환경 접속키를 이용해 실제 서비스가 운영되는 AWS 클라우드 환경으로 접근했습니다. 조사단은 최초 개발환경 접속키가 어떤 경로로 탈취됐는지는 확인하지 못했습니다.
중요한 점은 이번 사건을 단순히 ‘AWS 자체가 해킹됐다’고 해석하면 정확하지 않다는 것입니다. 정부 조사에서 지적된 핵심은 티빙의 접속키 관리, 접근권한 통제, 이상행위 탐지와 보안 관리체계였습니다. AWS 역시 클라우드 사업자는 기반 인프라 보안을 담당하고, 이용 기업은 계정·데이터·애플리케이션·접근권한 등을 관리하는 공동책임 모델을 적용하고 있습니다.
티빙 보안에서 어떤 문제가 확인됐을까?
접속키와 접근권한 관리가 주요 취약점으로 지적됐다
정부 조사에서는 여러 보안 문제가 함께 확인됐습니다.
| 확인된 문제 | 주요 내용 |
|---|---|
| 접속키 관리 | 개발·운영 접속키가 소스코드에 노출 |
| 권한 관리 | 개발자들에게 과도한 프로젝트 접근권한 부여 |
| 이상행위 탐지 | 비정상적인 데이터 접근·전송 탐지 체계 미흡 |
| 취약점 조치 | 과거 모의해킹에서 발견된 문제를 충분히 개선하지 않음 |
| 로그 관리 | 일부 시스템의 접속기록 보관이 충분하지 않음 |
| 사고 대응 | 이상징후 발생 후 보안 조직 공유가 지연됨 |
특히 티빙은 2024년 모의해킹에서 접속키가 소스코드에 그대로 노출되는 문제를 확인했지만 개선하지 않은 사실이 조사에서 확인됐습니다. 이상징후가 발생한 이후 정보보호 전담조직과 최고책임자에게 공유되기까지 약 14시간이 걸린 점도 지적됐습니다.
어떤 개인정보가 유출됐을까?
아이디·이름·전화번호뿐 아니라 CI·DI 등도 포함됐다
개인정보보호위원회는 2026년 6월 조사 착수 당시 유출된 정보에 아이디, 이름, 생년월일, 성별, 휴대전화번호, 이메일, CI, DI, 환불 계좌번호, 비밀번호 등이 포함됐다고 밝혔습니다. 일부 항목은 암호화된 상태였습니다.
CI는 온라인 서비스에서 본인을 식별하기 위한 연계정보이고, DI는 중복가입 여부 등을 확인할 때 활용되는 식별정보입니다.
따라서 유출 대상 이용자라면 티빙에서 사용하던 비밀번호뿐 아니라 같거나 비슷한 비밀번호를 사용하는 다른 사이트의 비밀번호도 변경하는 것이 좋습니다.
티빙은 클라우드 보안을 어떻게 강화했을까?
제로 트러스트 방식으로 접근과 권한을 다시 설계하고 있다
티빙은 사고 이후 **제로 트러스트(Zero Trust)**를 중심으로 서비스와 클라우드 보안 체계를 재구축하고 있다고 밝혔습니다.
제로 트러스트는 회사 내부 사용자나 시스템이라고 자동으로 신뢰하지 않고 접속할 때마다 사용자·기기·권한을 확인하고 필요한 최소 권한만 허용하는 보안 방식입니다.
티빙이 발표한 4대 보안 원칙은 다음과 같습니다.
철저한 접근 검증 → 최소 권한 → 침해를 전제로 한 대응 → 지속적인 검증입니다.
인증 토큰부터 클라우드 이상행위까지 점검한다
구체적으로 앱과 웹 전 구간에 인증 토큰 검증을 적용하고 구버전 앱을 강제 업데이트했습니다.
또한 시스템 접근권한을 업무별로 세분화하고, 클라우드 환경에서 비정상적인 접근이 발생하면 실시간으로 탐지·알림을 받을 수 있도록 체계를 강화했습니다.
소스코드에 들어 있던 비밀정보는 별도의 관리 시스템으로 이전하고 앱 서명키와 DRM 키도 교체했습니다. 비밀번호 저장 방식 역시 bcrypt 기반 알고리즘으로 전환했습니다.
앞으로 추가되는 보안 조치는 무엇일까?
AI 보안관제와 클라우드 계정·권한 진단이 확대된다
티빙은 앞으로 자격증명 관리 도구, 소스코드 취약점 분석, 클라우드 계정과 권한 진단을 확대할 계획입니다.
모의해킹 범위도 클라우드 영역까지 넓히고, AI 기반으로 이상행위를 탐지해 위험이 발생하면 빠르게 차단하는 보안 체계와 버그바운티 도입도 검토하고 있습니다.
정보보호 인력과 투자도 확대합니다. 티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고, 향후 5년 동안 보안 전문인력을 현재의 약 3배 수준으로 늘리겠다는 계획을 발표했습니다.
티빙 이용자는 지금 무엇을 확인해야 할까?
비밀번호 변경과 유출 여부 확인을 먼저 하는 것이 좋다
티빙을 이용했거나 과거 가입한 적이 있다면 먼저 개인정보 유출 대상 여부를 확인하고 비밀번호를 변경하는 것이 좋습니다.
티빙 고객지원에는 현재 사이버 침해사고 관련 메뉴가 마련돼 있으며 보상 대상자 확인, 보상 신청, 개인정보 유출 내역 조회 등의 기능을 제공하고 있습니다.
특히 다른 사이트에서도 동일한 이메일과 비밀번호 조합을 사용했다면 해당 서비스까지 비밀번호를 바꾸고, 출처가 불분명한 문자·이메일의 링크는 누르지 않는 것이 안전합니다.
티빙 클라우드 보안 사고의 핵심은 클라우드를 사용했다는 사실 자체보다 클라우드 접속키와 권한을 어떻게 관리했는가에 있습니다. 이번 사고 이후 티빙은 제로 트러스트와 클라우드 이상행위 탐지, 최소 권한 관리 중심으로 보안 구조를 다시 설계하고 있으며, 실제 재발방지 조치가 지속적으로 이행되는지가 앞으로 중요한 확인점입니다.
자주 묻는 질문
질문 1
Q. 티빙 해킹은 AWS 클라우드가 뚫린 사고인가요?
A. 정부 조사에서는 AWS 자체 인프라가 해킹된 것으로 발표되지 않았습니다. 공격자가 티빙 개발환경 접속키와 소스코드에 있던 운영환경 접속키를 이용해 AWS 운영환경으로 접근한 것으로 조사돼, 핵심 원인은 접속키·권한·접근통제 관리 문제로 보는 것이 정확합니다.
질문 2
Q. 티빙 개인정보 유출 여부는 어디서 확인할 수 있나요?
A. 티빙 고객지원의 사이버 침해사고 메뉴에서 개인정보 유출 내역과 보상 대상 여부를 확인할 수 있습니다. 유출 대상이라면 티빙 비밀번호뿐 아니라 동일한 비밀번호를 사용한 다른 서비스도 함께 변경하는 것이 좋습니다.
질문 3
Q. 티빙 제로 트러스트 보안은 무엇이 달라졌나요?
A. 사용자나 내부 시스템을 자동으로 신뢰하지 않고 접속과 권한을 지속적으로 확인하는 방식입니다. 티빙은 앱·웹 인증 검증, 최소 권한 적용, 클라우드 이상행위 탐지, 비밀정보 전용 관리와 AI 기반 보안관제 등을 순차적으로 적용하고 있습니다.