[IT/보안] "마스터키 털리면 벌어지는 일"… 티빙 사태로 본 한·미 '자격증명 유출' 잔혹사 TOP 4

최근 국내 대형 OTT 플랫폼 '티빙(TVING)'에서 발생한 대규모 개인정보 유출 사고의 전말이 드러나며 충격을 주고 있습니다. 고난도 해킹 기술이 아니라, 개발자 협업 플랫폼인 깃허브(GitHub)에 시스템 마스터키(AWS 액세스 키)를 그대로 적어두었다가(하드코딩) 털린 '인재(人災)'로 밝혀졌기 때문입니다.

범인은 유출된 키로 당당하게 로그인해 21시간 동안 데이터베이스를 조회했습니다. 이처럼 허술한 '자격증명(접속 키) 관리 불감증'이 기업을 얼마나 치명적인 위기로 몰아넣는지, 한·미 역대급 자격증명 탈취 사건 TOP 3를 정리했습니다.

4위. 인터파크 개인정보 유출 사건 (한국, 2016년)

피해 규모: 회원 1,030만 명의 이름, 생년월일, 전화번호, 이메일 유출

사고 원인 (자격증명 탈취): 해커가 인터파크 직원의 가족을 사칭해 이메일로 악성코드를 보냈습니다. 이 직원의 PC가 감염되면서 내부 서버에 접속할 수 있는 관리자 자격증명(비밀번호 및 권한)이 통째로 털렸습니다. 해커는 정상적인 관리자 권한을 이용해 내부 DB 서버에 접근한 뒤 유유히 데이터를 빼내 갔습니다.

결과: 당시 기준 역대 최고액인 과징금 45억 원을 부과받았고, 기업 이미지에 치명타를 입었습니다.

3위. 티빙(TVING) 깃허브 키 노출 사건 (한국, 2026년 현재)

피해 규모: 유·무료 회원 약 1,300만 명의 ID, 이름, 생년월일, 연계정보(CI), 이메일 및 환불 계좌번호 등 유출

사고 원인 (개발자 하드코딩): 개발자가 소스코드를 공유하는 깃허브에 AWS 접속 마스터키를 그대로 적어 올렸고, 이를 가로챈 범인이 내부 시스템에 직접 접속했습니다. 시스템 입장에서는 '정상적인 관리자'가 들어온 줄 알았기 때문에, 범인이 직접 명령어를 입력해 1,300만 명의 DB를 조회하는 21시간 동안 아무런 제재도 하지 못했습니다.

결과: 민관합동조사단이 정밀 조사에 착수했으며, 국내 이용자들을 중심으로 거센 비판과 함께 집단소송 움직임이 일고 있습니다.

2위. 캐피탈 원(Capital One) 금융 해킹 (미국, 2019년)

피해 규모: 미국·캐나다 이용자 1억 600만 명의 신용카드 신청 정보 및 계좌번호 유출

사고 원인 (설정 오류 및 권한 남용): 범인은 놀랍게도 전직 AWS(아마존웹서비스) 직원이었습니다. 캐피탈 원이 클라우드 서버 방화벽 자격증명 설정을 허술하게 해둔 취약점을 정확히 찌르고 들어왔습니다. 내부 인프라 구조를 잘 아는 범인이 권한을 획득해 클라우드 보관소에 직접 명령을 내려 데이터를 조회했습니다.

미국식 엔딩: 금융 정보가 털린 만큼 대가는 가혹했습니다. 정부 벌금 8,000만 달러에 이어, 피해 유저들이 제기한 집단소송 합의금으로 1억 9,000만 달러(약 2,500억 원)를 물어내야 했습니다.

1위. 우버(Uber) 깃허브 자격증명 유출 사건 (미국, 2016년)

피해 규모: 승객 및 운전기사 5,700만 명의 개인정보 유출

사고 원인 (이번 티빙 사건과 100% 일치): 우버의 개발자가 소스코드를 공유하는 깃허브(GitHub) 프라이빗 저장소에 AWS 접속 마스터키를 그대로 적어두었습니다. 해커는 이 개발자의 깃허브 계정을 해킹해 들어가 하드코딩된 AWS 키를 훔쳤고, 이 키로 우버의 클라우드 데이터베이스에 접속해 정보를 싹 쓸어갔습니다.

미국식 엔딩: 우버는 이 사실을 숨기려고 해커에게 '입막음 비용'으로 10만 달러를 주고 은폐하려다 뒤늦게 적발되었습니다. 결국 미국 50개 주 정부 및 연방정부와의 소송 끝에 1억 4,800만 달러(약 2,000억 원)라는 천문학적인 합의금을 물어냈고, 당시 최고보안책임자(CSO)는 사법방해죄로 형사 처벌까지 받았습니다.

💡 uspick 한 줄 평

이번 티빙 사태는 2016년 미국의 우버(Uber) 사건과 소스코드 내 키 유출이라는 정황이 100% 일치합니다. 미국에서는 이 대가로 무려 2,000억 원의 배상금을 무는 등 '걸리면 문 닫는다'는 수준의 징벌이 내려집니다. 국내 이용자들의 소중한 개인정보(특히 디지털 주민등록번호라 불리는 CI까지)가 통째로 털린 만큼, 이번에는 단순한 사과문으로 끝내선 안 되며 강력한 법적 책임을 물어야 할 시점입니다.