티빙 3,954만 계정과 쿠팡 6,246억 과징금: 개인정보 제재의 새로운 기준선
Dokebi · 2026년 10월 29일 · #tech #security #privacy #data-breach #korea #regulation
개요
2026년 한국 개인정보 보호 이슈에서 빠지지 않는 두 가지가 있습니다. 티빙 3,954만 개 계정 유출과 쿠팡 6,246억 원 과징금입니다. 이 두 사건은 단순한 사고 보도가 아니라, 대규모 유출과 제재 수위가 어떻게 연결되고 있는지를 보여주는 기준점입니다.
티빙: 3,954만 계정, 사실상 전 회원 유출
과학기술정보통신부가 2026년 9월 3일 발표한 조사 결과에 따르면 티빙에서 유출된 계정은 중복 포함 3,954만 개입니다. 활성 2,206만 개, 휴면·탈퇴 1,737만 개, 테스트 11만 개로 나뉘며, 탈퇴한 회원까지 포함해 사실상 모든 계정이 유출된 것입니다.
유출 내용: 개인정보를 넘어 기술자산까지
| 구분 | 내용 |
|---|---|
| 계정/개인정보 | 아이디·비밀번호·성명·생년월일·휴대전화번호·이메일 등 20개 항목 70종 |
| 연계정보 | CI(연계정보) 포함 — '온라인 주민번호'로 불리는 회원 식별 정보 |
| 암호화의 실질성 | 휴대전화·이메일은 암호화 키까지 함께 유출되어 정부는 사실상 평문 유출로 판단 |
| 기술자산 | 인증·결제·검색 알고리즘 소스코드가 담긴 개발 프로젝트 361건(30.35GB) 반출 |
방치의 구조
조사 결과는 '알고도 방치'한 정황을 잘 보여줍니다. 2024년 모의해킹에서 접속키가 소스코드에 노출되거나 평문 저장된 위험을 확인하고도 고치지 않았습니다. DB 서버 첫 반출 때 CPU 사용률이 100%까지 치솟았지만 침해가 아닌 부하 문제로 판단했고, 정보보호 조직에 공유되기까지 14시간이 걸렸습니다.
쿠팡: 역대 최대 6,246억 원 과징금
개인정보보호위원회는 2026년 6월 쿠팡에 과징금 6,246억 8,100만 원 + 과태료 1,680만 원과 시정명령을 부과했습니다. 구성이 중요합니다. 유출 및 안전조치 위반분이 4,235억 7,500만 원, 이용자 1,117만 명의 타사 웹·앱 이용행태 동의 없는 수집이 별도로 2,011억 600만 원입니다. 쿠팡 최종 유출 규모는 회원 3,322만 명과 비회원 433만 명을 합친 약 3,750만 명이며, 5차례 국회 질의와 10여 개 부처가 참여한 범정부 조사가 이어졌습니다.
대형 유출 제재 비교
| 회사 | 유출 규모 | 제재 |
|---|---|---|
| 쿠팡 | 약 3,750만 명 | 과징금 6,246억 8,100만 원 + 과태료 1,680만 원 |
| 티빙 | 3,954만 계정 (중복 포함) | 매출 3% 상한 적용 시 121억 원대 예상 |
| SK텔레콤 | 가입자 2,324만 명 (유심 인증키 등 25종) | 과징금 1,347억 9,100만 원 + 과태료 960만 원 |
| 듀오 (과거 사례) | 42만 7,464명분, 24개 이상 항목 | 과징금 11억 9,700만 원 — '솜방망이' 논란 |
왜 이렇게 차이 나나: 매출연동 과징금의 형평성 논쟁
현재 개인정보 보호법의 과징금 상한은 전체 매출액의 3%입니다. 티빙의 지난해 매출 4,059억 원에 단순 적용하면 121억 8,000만 원인데, 이는 쿠팡 과징금의 35분의 1 수준입니다. 유출된 정보의 양과 질적 심각성, '알고도 방치'한 취약점, 신고 지연 같은 요소와 무관하게 결국 회사 매출 크기가 제재액을 좌우하는 구조에 대한 비판이 잇따랐습니다.
결정적 변곡점은 2026년 11월 시행되는 개정법입니다. 고의·중과실로 1,000만 명 이상 피해를 낸 경우 매출의 10%까지 과징금을 부과할 수 있게 되었습니다. 다만 티빙 침입은 5월 말에 끝났기 때문에 원칙적으로 기존 3% 체계가 적용될 것으로 예상됩니다. 해외 법제 역시 대체로 '매출 연동' 방식입니다. 한국·EU(매출 2~4%), 중국(전년 매출 5%이상), 일본(최대 1억 엔 정액) 등이 있습니다.
두 사건이 남긴 교훈
- 모의해킹 결과를 고치지 않으면 그것이 유출 사고의 씨앗이 됩니다. 티빙이 그 증거입니다. '점검 이력'이 아니라 '점검 후 수정 이력'이 개보위 조사와 과징금 산정에 가장 결정적인 평가 요소로 잡힙니다.
- 암호화만으로는 부족합니다. 키와 데이터가 함께 유출되면 보호가 실질적으로 해제됩니다. 키를 별도 관리(HSM·KMS)하고, 키 유출을 전제로 한 데이터 격리 설계가 필요합니다.
- 기술자산 유출은 개인정보보다 더 크게 다뤄야 합니다. 인증·결제·검색 알고리즘 소스코드 반출은 서비스의 경쟁 구도 자체를 건드리고, 이후 공격 표면까지 넓힙니다.
- '침해 아님' 조기 판단은 대응 부실의 기록이 됩니다. 티빙처럼 CPU 100%를 부하로 두다 보면 내부 공유(14시간)가 지연되고, 조사에서 총체적 대응 미흡으로 산정됩니다.
- 제재액은 사후에 결정됩니다. 1,000만 명 이상 피해에 매출 10%까지 적용되는 개정법 시행 이후에는 같은 규모의 사고가 훨씬 큰 재무제표 결과를 가져올 수 있습니다.
개인이 할 일 (티빙·쿠팡 유출 공통)
- 공식 홈페이지 주소를 직접 입력해 들어가 비밀번호를 재설정. 유출 정보를 가장한 '비밀번호 재설정 안내' 문자·링크는 절대 클릭하지 말 것
- 재사용 중인 비밀번호가 있으면 그 서비스도 즉시 변경 — 유출 정보는 반드시 자동 공격(자격증명 채우기, credential stuffing)에 쓰입니다
- CI 연동 정리: 티빙 계정으로 간편가입해둔 타 서비스의 연동·가입 여부를 확인하고, 불필요한 연동은 해제
- 의심스러운 전화·문자는 원문 그대로 보관하고 KISA 침해사고 신고(118) 또는 경찰청 사이버신고(K112)로 접수
결론
티빙·쿠팡 사건이 남긴 것은 '또 유출됐다'는 알림이 아니라, '점검만 하는 보안'이 아니라 '확인하고 바로 고치는 보안'이 표준이 되어야 한다는 것입니다. 과징금이 매출의 최대 10%까지 확대되는 제도 변화와 겹치면서, 이후의 논쟁점은 제재액의 크기가 아니라 사고 당시 대응의 질이 됩니다. 기업이 이제 결정해야 할 것은 유출 이후 대응 내용이 아니라, 유출 이전에 쓰여질 '점검·수정 이력'입니다.
참고 자료
머니투데이 '3954만 계정' 정보 유출 티빙…매출연동 과징금 '형평성' 시험대 · YTN 알고도 방치했다? 티빙 해킹 진짜 무서운 이유 · 개인정보보호위원회 쿠팡 과징금 6,246억 원 부과 보도자료 · MBC '개인정보 유출' 쿠팡 과징금 6246억 원…역대 최대 · 더퍼블릭 쿠팡 과징금 6246억인데 티빙은 100억대?