티빙, 개인정보 유출 사고 연계 서비스로 번지나? ‘CJ ONE’ 연계 피해 우려

핵심 요약

국내 온라인 동영상 서비스(OTT) 티빙에서 약 700만 명 규모의 개인정보(CI) 유출 사고가 발생하여 과학기술정보통신부 민관합동조사단이 조사에 착수했습니다. 이번 사고는 단순 식별정보를 넘어 CI 탈취 정황이 확인되었으며, 통합 로그인으로 연동된 'CJ ONE' 등 다른 서비스로의 수평 이동 가능성이 제기되어 추가 피해 우려가 있습니다. 이는 Initial Access(TA0001) 이후 Credential Access(TA0006)를 통해 다른 연계 서비스로의 확장을 시도할 수 있음을 시사합니다. IT 감사인은 연계 서비스 전반의 통합 인증 시스템 보안 취약점 점검 및 개인정보 유출 사고 대응 체계의 적절성을 중점적으로 감사하여 유사 사고 재발 방지 및 피해 확산 방지 노력을 확인해야 함을 권고합니다.

💡 개선 권고안

• ✔기술적 조치통합 로그인 시스템 및 연계 서비스 간 인증 및 인가 메커니즘에 대한 전반적인 보안 취약점 점검을 수행하고, 다단계 인증(MFA) 도입 및 세션 관리 강화 등 보안 통제를 적용해야 함을 권고함.
• ✔기술적 조치개인정보(CI)를 포함한 민감 정보의 암호화 저장 및 전송 정책을 강화하고, 접근 제어 및 감사 로깅 시스템을 고도화하여 비정상적인 접근 시도를 즉시 탐지하고 대응할 수 있도록 시스템을 구축해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 및 신고 절차를 재점검하고, 법적 요구사항(개인정보 보호법 제34조, 정보통신망법 제48조의3 등)을 준수하여 지체 없이 대응할 수 있는 비상 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치침해사고 대응팀(CSIRT)의 역량을 강화하고, 정기적인 모의 훈련을 통해 사고 발생 시 신속하고 효과적인 원인 분석, 피해 확산 방지, 복구 및 재발 방지 프로세스가 작동하는지 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문