CJ 티빙 개인정보 유출 사태로 본 플랫폼 보안 위기와 대응 전략

유출은 반복되는데 충격은 짧다

플랫폼 보안의 구조적 취약성이 드러났다

2026년 5월 27일 CJ그룹 계열사 내부 직원 정보 유출 정황이 처음 포착된 데 이어, 6월 2일에는 CJ ENM의 OTT 서비스 ‘티빙’에서 대규모 개인정보 유출 사고가 발생했다. 같은 달 6월 5일에는 CU 편의점 택배 서비스 이용 고객 정보가 외부로 유출된 사실이 확인됐다. 불과 열흘 사이 국내 주요 유통·플랫폼 기업에서 연쇄적으로 발생한 개인정보 유출 사건은 단순한 보안 사고를 넘어 산업 전반의 구조적 취약성을 드러냈다.

특히 이번 사태는 기존 금융정보 중심 해킹과 달리 ‘행동 데이터’가 주요 표적이 됐다는 점에서 심각성이 크다. 티빙 사고에서는 이름과 전화번호뿐 아니라 시청 이력, 가입 인증에 활용되는 CI(연계정보)와 DI(중복가입확인정보)까지 포함된 것으로 알려졌다. 이는 여러 플랫폼 데이터와 결합될 경우 개인 식별과 추적이 가능해지는 고위험 정보다.

CJ그룹 여성 직원 330명의 개인정보가 텔레그램을 통해 암호화폐로 거래된 사건은 더욱 충격적이다. 특정 성별과 직군을 선별한 표적형 유출이라는 점에서 2차 범죄 가능성이 제기됐다. 개인정보가 단순 데이터가 아닌 ‘공격 대상’으로 전환됐음을 보여주는 사례다.

문제는 이러한 사고가 반복되고 있음에도 시장 충격이 제한적이라는 점이다. 실제로 과거 유사 사례에서 주요 플랫폼의 월간 활성 이용자(MAU)는 사고 직후 일시 감소했으나 수개월 내 회복됐다. CJ 사태 이후 일부 소비자 사이에서 불매 움직임이 나타났지만, 대체재가 많은 유통 구조 특성상 소비 복귀 속도는 빠르게 나타나는 양상이다.

전문가들은 이 같은 현상이 기업의 보안 투자 유인을 약화시키는 구조적 요인이라고 지적한다. 기업이 부담하는 비용은 과징금과 이미지 훼손, 단기 주가 하락에 그치는 경우가 많아, 장기적 리스크 대비 투자 우선순위에서 밀릴 수밖에 없다는 것이다.

실제 거버넌스 측면에서도 취약성이 확인된다. 한국인터넷진흥원(KISA) 공시에 따르면 일부 계열사의 CISO(최고정보보호책임자)는 비임원 또는 겸직 형태로 운영되고 있으며, 정보보호 전담 인력 비중도 1~5% 수준에 머무르고 있다. 이는 침해 대응 속도와 전략적 의사결정에 한계를 초래할 수 있다.

이 같은 구조적 문제는 이해관계 충돌에서 비롯된다. 플랫폼 기업은 데이터 축적과 서비스 확장을 통해 수익을 극대화하려 하고, 이용자는 개인정보 보호를 요구한다. 정부는 규제와 과징금을 통해 균형을 맞추려 하지만, 해커와 다크웹 시장은 데이터의 상품화를 통해 새로운 수익을 창출한다.

해외에서는 보다 강력한 규제가 시행 중이다. 유럽연합(EU)은 GDPR에 따라 기업 매출의 최대 4%까지 과징금을 부과하고 있으며, 최근에는 데이터 보호 위반에 대한 집단소송도 활발히 진행되고 있다. 국내 역시 매출 연동 과징금 확대 논의가 진행 중이지만, 단순 처벌 중심 접근에는 한계가 있다는 지적이 나온다.

재발 방지를 위해서는 구조적 접근이 필요하다. 첫째, CISO의 임원급 독립성을 확보해 보안 의사결정의 위상을 높여야 한다. 둘째, 개인정보보호책임자(CPO)와 역할을 분리해 책임성과 전문성을 강화해야 한다. 셋째, 기업 간 침해 정보 공유를 의무화해 공격 패턴에 대한 집단 대응 체계를 구축해야 한다. 넷째, 이용자 집단소송 제도를 활성화해 기업의 책임성을 실질적으로 높일 필요가 있다. 다섯째, 사이버 보험 및 리스크 시장을 확대해 보안 투자에 대한 경제적 인센티브를 강화해야 한다.

이번 연쇄 유출 사건은 단순한 보안 사고가 아니라 데이터 경제 시대의 구조적 경고다. 개인정보는 기업의 핵심 자산이자 동시에 범죄의 주요 표적이 되고 있다. 그러나 현재의 시스템은 ‘유출은 반복되지만 구조는 바뀌지 않는’ 상태에 머물러 있다.

보안을 비용이 아닌 경쟁력으로 인식하는 전환이 이루어지지 않는다면, 다음 사고는 예외가 아니라 필연이 될 것이다.