티스토리 뷰
목차
티빙 개인정보 유출 사고에서 가장 위험한 건 비밀번호가 아니라 CI(연계정보)가 빠져나갔다는 점입니다. 저도 유출 여부를 확인해봤더니 실제로 포함되어 있었습니다. 비번을 매번 다르게 할 수가 없어서 사용하고 있는 것으로 돌려막기 하고 있었는데, 이번에 아이폰 계정을 누군가 로그인 하려는 시도가 있었습니다. 그 순간 단순한 계정 하나의 문제가 아니라는 걸 실감했습니다.
정보 결합 위험, 왜 이번 유출이 다른가
이번 사고에서 유출된 것으로 알려진 CI(연계정보, Connecting Information)는 단순한 이메일 주소나 비밀번호와는 급이 다릅니다. CI란 주민등록번호를 기반으로 생성된 고유 식별값으로, 쉽게 말해 온라인에서 '나'라는 사람을 특정하는 전자 주민등록번호와 같습니다. 비밀번호는 바꿀 수 있지만, CI는 바꿀 수 없다는 게 핵심입니다.
문제는 여기서 끝나지 않습니다. 이전에 발생했던 수십 건의 개인정보 유출 사고들을 떠올려보면, 그 파편들이 지금 어딘가에 쌓여있을 가능성이 높습니다. 이름, 전화번호, 생년월일처럼 조각조각 흩어진 정보들이 이번에 유출된 CI와 결합되면 이야기가 완전히 달라집니다. 마치 퍼즐 조각들이 따로 있을 때는 그림을 알 수 없지만, 맞춰지는 순간 전체 그림이 드러나는 것처럼요.
개인정보보호위원회는 정보 결합을 통한 재식별 위험을 지속적으로 경고해왔습니다(출처: 개인정보보호위원회). 실제로 이름과 전화번호만 있을 때는 본인을 특정하기 어렵지만, 여기에 CI나 생년월일이 더해지면 금융기관의 비대면 본인인증을 우회하거나 명의도용 시도로 이어질 수 있습니다. 저는 이번 내용을 확인하면서 "비밀번호 하나 바꾸면 되는 거 아닌가"라고 가볍게 생각했던 스스로를 돌아보게 됐습니다. 그게 아니었습니다.
특히 크리덴셜 스터핑(Credential Stuffing) 공격도 현실적인 위협입니다. 크리덴셜 스터핑이란 유출된 아이디·비밀번호 조합을 자동화 프로그램으로 다른 사이트에 대입해 로그인을 시도하는 방식입니다. 여러 사이트에서 비슷한 비밀번호를 쓰고 있다면 하나가 뚫리는 순간 연쇄 피해가 시작됩니다. 제 경험상 이건 "나는 중요한 사람도 아닌데 굳이 해킹을 당하겠어?"라는 안일함이 가장 큰 적이었습니다.
- CI(연계정보): 변경 불가한 고유 식별값으로, 유출 시 장기적 위협이 됩니다
- 정보 결합 재식별: 파편화된 개인정보가 합쳐지면 명의도용·금융사기로 이어질 수 있습니다
- 크리덴셜 스터핑: 같은 비밀번호를 여러 사이트에서 사용하면 연쇄 피해 위험이 높아집니다
- 이메일 계정 탈취: 이메일은 다른 서비스의 비밀번호 재설정 수단이므로 가장 먼저 보호해야 합니다
즉시 보안 조치, 그리고 책임은 누구에게 있나
유출 사실을 알고 나서 제가 가장 먼저 한 건 이메일 계정의 2단계 인증(2FA, Two-Factor Authentication) 활성화였습니다. 2FA란 비밀번호 외에 스마트폰 인증번호나 인증 앱을 통해 본인 확인을 한 번 더 거치는 방식으로, 비밀번호가 유출되더라도 추가 방어선이 됩니다. 네이버, 구글 계정 모두 적용하는 데 5분도 걸리지 않았는데, 왜 이걸 진작 안 했나 싶을 정도였습니다.
카카오톡 설정도 손을 봐야 합니다. 설정 메뉴에서 '전화번호로 친구 추가 허용'과 '친구 추천 허용'을 끄고, 프로필 관리에서 '아이디 검색 허용'도 비활성화하는 것이 좋습니다. 이 기능들이 켜져 있으면 유출된 전화번호만으로 저를 찾아 접근할 수 있고, 가족이나 지인을 사칭하는 AI 딥페이크 피싱 시도의 첫 번째 통로가 됩니다. AI 딥페이크 피싱이란 인공지능으로 지인의 목소리나 말투를 흉내 내 돈이나 정보를 요구하는 신종 사기로, 한국인터넷진흥원(KISA)도 최근 공식 경보를 발령한 바 있습니다(출처: 한국인터넷진흥원(KISA)).
추가로 챙겨야 할 것이 두 가지 있습니다. 하나는 '개인정보 포털(www.privacy.go.kr)'을 통해 가입한 사이트를 일괄 확인하고 더 이상 쓰지 않는 서비스를 탈퇴하는 것입니다. 솔직히 이번에 저도 처음 해봤는데, 10년 전에 가입하고 까맣게 잊고 있던 사이트가 꽤 나와서 당황했습니다. 다른 하나는 M세이퍼(msafer.or.kr)를 통한 명의도용 방지 서비스 등록입니다. M세이퍼는 본인 명의로 신규 통신서비스 가입을 차단하거나 제한할 수 있는 서비스로, 유출된 정보로 새 휴대폰을 개통하는 시도를 원천 차단하는 데 효과적입니다.
다만 여기서 한 가지 불편한 이야기를 하지 않을 수 없습니다. 위에 나열한 조치들은 분명히 필요하지만, 이 모든 게 결국 피해자인 이용자의 몫이라는 점입니다. 기업이 정보를 제대로 지키지 못해서 생긴 사고인데, 사후 대응의 부담은 고스란히 개인에게 넘어옵니다. 더 근본적인 해결책은 기업이 처음부터 꼭 필요한 최소한의 정보만 수집하고, 보관 기간이 지난 데이터는 즉시 파기하는 원칙을 강제하는 것이라고 생각합니다. 개인이 아무리 잘 대응해도, 수집조차 하지 않은 정보는 유출될 수가 없으니까요.
자주 묻는 질문
Q. 티빙 유출 사고로 내 CI가 실제로 유출됐는지 어떻게 확인하나요?
A. 한국인터넷진흥원(KISA)이 운영하는 개인정보 침해신고센터(privacy.kisa.or.kr)나 티빙 공식 홈페이지의 공지를 통해 피해 여부를 확인할 수 있습니다. 기업은 개인정보 유출 시 72시간 이내 피해자에게 통지할 의무가 있으므로, 이메일이나 문자 공지가 왔다면 유출 항목을 꼼꼼히 확인하시기 바랍니다.
Q. M세이퍼 명의도용 방지 설정을 하면 불편한 점은 없나요?
A. 새 휴대폰 개통이나 통신 서비스 신규 가입 시 본인이 직접 해제해야 하는 번거로움이 생깁니다. 하지만 이 한 번의 불편함이 명의도용으로 인한 수십만 원대 피해를 막아주는 것을 감안하면, 설정해두는 것이 훨씬 유리한 선택입니다. 해제와 재설정 모두 온라인에서 간단히 할 수 있습니다.
Q. 카카오톡 친구 추가 허용을 끄면 기존 친구 목록에 영향이 있나요?
A. 기존에 등록된 친구 목록에는 아무런 변화가 없습니다. 해당 설정은 이후 새로운 사람이 전화번호로 나를 찾거나 자동으로 친구 추천에 노출되는 것만 차단합니다. 이미 연락하는 지인과의 관계에는 영향을 주지 않으므로 부담 없이 설정할 수 있습니다.
Q. 비밀번호 관리가 너무 복잡한데, 좋은 방법이 있나요?
A. 패스워드 매니저(Password Manager) 앱 사용을 권장합니다. 패스워드 매니저란 각 사이트마다 다른 복잡한 비밀번호를 자동으로 생성·저장·입력해주는 도구입니다. 마스터 비밀번호 하나만 기억하면 되기 때문에 보안과 편의성을 동시에 잡을 수 있고, 크리덴셜 스터핑 공격을 효과적으로 차단할 수 있습니다.
결론
개인정보 유출 뉴스가 나올 때마다 "또 났구나" 하고 넘기는 게 솔직히 저도 익숙한 반응이었습니다. 그런데 이번에 직접 확인해보니, 무뎌지는 것 자체가 가장 큰 위험이라는 생각이 들었습니다. 유출 자체는 막을 수 없더라도, 유출된 정보가 실제 피해로 연결되는 고리를 끊는 건 지금 당장의 행동에 달려 있습니다.
이메일 2FA 설정, 카카오톡 검색 허용 비활성화, M세이퍼 등록, 개인정보 포털에서 미사용 서비스 탈퇴. 이 네 가지만 오늘 안에 해두셔도 이번 사고의 2차 피해 가능성을 크게 줄일 수 있습니다. 기업과 제도의 변화를 요구하는 것도 중요하지만, 그 변화를 기다리는 동안 내 계정은 내가 먼저 지켜야 합니다.