티빙 유출, AI 계정 지금 점검할 순서
티빙에서 3954만 개 계정과 이메일·생년월일 등 20개 항목이 유출됐고, 비밀번호는 암호화된 채 빠져나갔다. 비밀번호가 곧장 뚫린 건 아니지만 같은 비밀번호를 AI 서비스에 재사용했거나 노출된 이메일로 피싱을 당하면 계정이 위험해진다. 지금은 비밀번호 재사용 여부부터 끊고 2단계 인증을 켜는 순서로 점검하는 게 급하다.
이번에 털린 것, 그나마 덜 털린 것
티빙이 국회에 보고한 유출 규모는 계정 3954만 개다. 이 가운데 실제로 쓰는 활성 계정이 2206만 개, 나머지는 휴면·탈퇴·테스트 계정이다. 빠져나간 정보는 아이디, 이름, 생년월일, 휴대폰번호, 이메일, 연계정보(CI) 등 20개 항목 70종에 이른다.
다행인 부분과 아닌 부분을 나눠 봐야 한다. 비밀번호와 휴대폰번호, 이메일, 환불 계좌번호는 암호화된 상태로 유출됐다. 특히 비밀번호는 일방향 암호화라 원문으로 되돌리기 어렵다. 반대로 이름과 생년월일 같은 항목은 사실상 그대로 노출됐다고 보는 편이 안전하다.
특히 눈여겨볼 항목이 연계정보(CI)다. CI는 여러 사이트에서 같은 사람을 식별하려고 쓰는 고유값이라, 이름·생년월일과 묶이면 사칭의 재료가 더 정교해진다.
원인은 외부 해킹만이 아니었다. 해커가 티빙 개발자의 '접속키'를 빼내 내부 시스템에 들어왔는데, 회사가 이 접속키를 소스코드에 평문으로 두고 모든 개발자에게 전체 프로젝트 접근 권한을 준 정황이 드러났다. 이상징후가 잡힌 뒤 보안 책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸린 점도 도마에 올랐다. 개인정보뿐 아니라 추천 알고리즘 등이 담긴 개발 프로젝트 361건도 함께 유출됐고, 정보는 해외로 넘어간 것으로 조사됐다.
티빙 하나 뚫렸는데, 왜 AI 계정을 걱정하나
Photo by Onur Binay on Unsplash
핵심은 티빙 계정 자체가 아니라 '재사용'이다. 위험은 두 갈래로 온다.
첫째, 비밀번호 재사용이다. 공격자는 한 곳에서 확보한 이메일·비밀번호 목록을 다른 사이트 로그인 창에 자동으로 대입한다. 이걸 크리덴셜 스터핑이라고 부르는데, 보안기업 아카마이 집계로는 웹 서비스 공격의 약 40%를 차지할 만큼 흔한 수법이다. 티빙 비밀번호는 암호화돼 당장 대입에 쓰기는 어렵지만, 문제는 당신이 티빙과 똑같은 비밀번호를 ChatGPT나 다른 AI 서비스에 그대로 썼는지다. 그 비밀번호가 과거 다른 유출로 이미 돌아다니고 있었다면 티빙과 무관하게 위험하다.
둘째, 노출된 이메일과 개인정보를 노린 피싱이다. 이름·생년월일·이메일이 한 세트로 넘어갔다는 건, "티빙 보상 안내"나 "계정 확인" 같은 그럴듯한 사칭 메일을 정교하게 만들 재료가 공격자 손에 있다는 뜻이다. 그 메일에서 무심코 AI 서비스 로그인 정보를 입력하면 계정이 넘어간다. AI 서비스에는 대화 기록, 등록해 둔 결제수단, 발급한 API 키가 묶여 있어 한 번 뚫리면 손실이 단순 로그인 도용에서 끝나지 않는다.
지금 계정을 점검하는 순서
순서가 중요하다. 급한 것부터 처리한다.
- 비밀번호 재사용부터 끊는다. 티빙에 쓰던 비밀번호를 ChatGPT, Claude, Gemini 같은 AI 서비스에도 썼다면 지금 바로 바꾼다. 하나라도 겹치면 겹치는 곳을 전부 서로 다른 비밀번호로 교체한다. 외우기 어렵다면 브라우저 내장 관리자나 비밀번호 관리 앱으로 서비스마다 다른 값을 자동 생성하는 편이 현실적이다.
- 2단계 인증을 켠다. 비밀번호가 새더라도 두 번째 관문이 있으면 로그인을 막을 수 있다. ChatGPT는 설정에서 보안(Security)으로 들어가 다중 요소 인증을 선택하면 된다. 이때 SMS 문자보다 인증 앱(Google Authenticator 등)이나 패스키가 더 안전하다. 문자는 번호 탈취(심 스와핑)에 상대적으로 취약하기 때문이다. 계정을 여러 개 쓴다면 매일 여는 주력 서비스와 결제·API가 걸린 계정부터 켜는 게 우선순위상 맞다.
- 복구 코드를 따로 보관한다. 2단계 인증을 켜면 서비스가 복구 코드를 준다. 휴대폰을 잃었을 때 이게 없으면 본인 계정에서 잠긴다. 스크린샷으로 사진첩에 두지 말고 별도 메모나 관리 앱에 저장한다.
- 티빙발 사칭 메일을 경계한다. 당분간 티빙 보상·확인을 사칭한 메일이 늘 수 있다. 메일 속 링크로 들어가 로그인하지 말고, 서비스 앱이나 주소창에 직접 주소를 입력해 접속한다.
티빙은 안심보험 1인당 최대 300만 원 보장과 포인트·쿠폰 등 2만 원 상당 보상을 내놨고, 앞으로 5년간 보안에 연 100억~120억 원을 투자하겠다고 했다. 회사 대응과 별개로, 유출된 정보가 다른 계정으로 번지는 걸 막는 건 결국 이용자 각자의 비밀번호와 2단계 인증 설정에 달려 있다.