티빙 개인정보 유출 CI DI 뜻 | 온라인 주민등록번호 차이와 위험

2026년 5월 말 티빙 DB 서버 침해로 개인정보 유출 사실이 드러났다. 6월 3일 회원 공지에서 유출 항목이 공개되자, 이용자들이 가장 낯설어한 단어가 CI(연계정보)와 DI(중복가입확인정보)였다. 아이디·이름·전화번호는 익숙하지만, CI·DI는 본인인증할 때마다 넘겼을 뿐 무엇인지 몰랐던 경우가 많다.

필자도 티빙 가입 휴대폰으로 2026년 6월 4일 오후 4시 18분 유출 통지 문자를 직접 받았다. 뉴스로만 보던 항목이 내 이름·생년월일·CI·DI까지 포함된 목록으로 찍혀 왔을 때, 이번 사고가 남의 일이 아니라는 걸 체감했다. 아래 표와 본문에 실제 수신 문구도 그대로 실었다.

아래에서는 유출 항목·타임라인·침해 방식 같은 사고 사실부터 CI·DI 뜻과 차이, CJ ONE 연동 우려, 과징금·보상·법적 구제까지 이어서 짚는다. 아직 확정되지 않은 수치는 추산·보도 기준으로 구분했다.

1. 유출된 개인정보 항목

티빙이 6월 3일 회원 공지에서 밝힌 유출 항목은 다음과 같다. 일부는 암호화된 상태로 유출됐다.

쟁점은 CI·DI가 암호화 없이 노출됐다는 점이다. 보안 업계에서는 MAU(월간 활성 이용자) 약 700만 명 규모를 근거로, 그에 가까운 CI·DI가 탈취됐을 수 있다는 분석이 나왔다. 700만은 티빙이 확정한 피해자 수가 아니라 전문가 추산치이며, 공식 피해 인원은 아직 미공개다.

2. 사고 경과 타임라인

티빙은 정확한 유출 인원을 아직 공개하지 않았고, 영향 범위 확인 후 개별 안내하겠다는 입장이다. 자체 보상안(이용권·환불 등)도 피해 규모 확인 뒤 안내 예정이다. 통지 문자에는 고객별로 정확히 어떤 항목이 빠졌는지는 아직 따로 안내하겠다고 적혀 있었다.

3. 실제로 받은 유출 통지 문자

2026년 6월 4일 오후 4시 18분, 티빙이 가입 시 등록한 휴대폰 번호로 아래와 같은 [Web발신] 문자가 왔다. 공지·보도에 나온 유출 항목과 문구가 거의 같고, 사고 인지 시점을 6월 2일 DB 파일 유출 정황 확인으로 적고 있다.

[Web발신]

안녕하세요, 티빙을 이용해 주시는 고객님께 깊은 사과의 말씀 드립니다.

당사는 2026년 6월 2일 개인정보 저장DB에 신원 미상 해커의 접근 및 파일 유출 정황을 확인하였습니다.

■유출된 개인정보 항목

아이디,이름,생년월일,성별,CI,DI,휴대폰번호(마지막 4자리 암호화),이메일(도메인 제외 ID 부분 암호화),환불계좌번호(암호화),비밀번호(암호화),이외 서비스 이용 관련 정보 등이며, 고객님의 정확한 유출 정보 항목은 별도로 안내드릴 수 있도록 하겠습니다.

■당사 대응 조치

인지 즉시 공격 IP 차단 및 클라우드 접근 통제 변경

DB 접속 모니터링 강화 및 추가 피해 확산 방지 보안 조치 완료

이용자 피해 구제를 위한 전담 고객센터 운영 및 지원 절차 마련

■이용자 행동 요령

혹시 모를 수상한 전화,메일,문자(스미싱/피싱) 주의

동일 계정 정보 사용 타 서비스의 비밀번호 변경 권장

심려를 끼쳐드려 다시 한번 깊이 사과드리며 보상안 및 추가 필요 사항은 지속적으로 안내해 드리겠습니다.

■피해 접수/문의처(담당부서CX팀)

문자만으로는 내 계정에서 CI·DI가 실제로 유출됐는지 항목별로 확인할 수는 없다. 다만 목록에 CI·DI가 평문으로 적혀 있고, 이후 별도 안내를 약속한 점은 위 표와 맞닿아 있다. 위 인용문은 개인정보·스팸 방지를 위해 문의처 번호 등을 일부러 빼고 옮겼다. 실제 문자에는 CX팀 피해 접수·문의처가 적혀 있었다.

4. 침해 경로와 티빙의 초기 대응

신고서·보도에 따르면 공격자는 DB 서버에 직접 접속해 조회·수정·삭제 등 쿼리를 실행한 정황이 확인됐다. GitHub에 하드코딩됐던 자격증명이나 탈취된 AWS 액세스 키로 클라우드 DB에 접근한 것으로 추정된다.

티빙은 사고 직후 공격자 자격증명 비활성화, AWS 액세스 키 폐기, GitHub 자격증명 교체, 관련 IP 차단, 자료 보전 조치를 했다. 경찰 신고는 신고서상 미신고(아니오)로 기재됐다. KT 개인정보 유출 보상으로 받은 티빙 이용권을 쓰던 이용자가 다시 유출 피해를 입었다는 이중 피해 논란도 제기됐다.

최주희 티빙 대표는 6월 3일 사과문에서 보안 체계를 원점에서 재점검하고 정부·관계기관 조사에 협력하겠다고 밝혔다.

그림 1. CI(온라인 주민등록번호)와 DI(중복가입 차단) 한눈에 보기

5. CI와 DI가 등장한 배경

과거 국내 웹사이트는 회원 가입·본인확인 때 주민등록번호를 그대로 받았다. 주민번호는 평생 변하지 않아 한 번 유출되면 끝까지 위험에 남고, 여러 사이트가 같은 번호를 들고 있어 한 곳만 뚫려도 연쇄 피해가 났다.

이를 막으려 정부는 주민번호 수집을 제한하고 주민번호 대체수단을 마련했다. KISA 본인확인 체계 아래 본인확인기관이 주민번호를 변환해 식별값을 발급한다. 그 결과물이 연계정보(CI)와 중복가입확인정보(DI)다.

주민번호 원본은 본인확인기관만 갖고, 사이트에는 되돌릴 수 없게 변환한 값만 넘긴다.

핵심 포인트: CI·DI는 주민번호를 대신하는 민감 정보다. 본인확인기관이 발급하며, 사이트는 변환값으로 동일인만 판별한다. 편의용 부가정보가 아니다.

그림 2. CI 생성 — 일방향 해시 후 88바이트, 사이트마다 동일

6. CI, 어디서든 같은 값을 갖는 온라인 주민등록번호

CI(Connecting Information, 연계정보)는 서로 다른 서비스의 가입 정보가 같은 사람 것인지 연결할 때 쓴다.

6.1. CI의 생성 원리와 특징

1. 본인확인기관이 주민등록번호를 일방향 암호화(해시)해 만든다. 변환값에서 원래 주민번호를 되돌릴 수 없다.
2. SHA-512 해시를 Base64 인코딩한 88바이트 문자열이다.
3. 같은 사람이면 어느 사이트에서든 CI 값이 같다.
4. 주민번호처럼 평생 변하지 않는다. 비밀번호처럼 바꾸거나 새로 받는 개념이 아니다.

이 성질 때문에 CI를 온라인 주민등록번호라고 부른다. 티빙은 CJ ONE 통합 멤버십, 시즌(Seezn) 합병, 제휴망 연동 과정에서 흩어진 회원을 묶기 위해 CI·DI를 써 온 것으로 알려졌다.

7. DI, 사이트 안에서만 통하는 중복가입 확인용 값

DI(Duplication Information, 중복가입확인정보)는 한 사이트에서 같은 사람의 중복 가입을 막는 데 쓴다.

7.1. DI가 CI와 다른 점

1. 주민번호에 웹사이트 식별번호와 본인확인기관 공유 비밀정보를 더해 만든 64바이트 문자열이다.
2. 사이트마다 값이 달라진다. CI가 어디서나 같다는 점과 반대다.
3. 같은 사이트 안에서는 동일인이면 항상 같은 DI가 나와 중복 가입을 막는다.

그림 3. 글로벌 식별값(CI) vs 로컬 식별값(DI)

8. CI·DI 유출이 비밀번호 유출보다 까다로운 이유

비밀번호는 새로 바꿔 위험을 끊을 수 있다. CI는 주민번호 기반이라 평생 변하지 않고 재발급·변경이 사실상 불가능하다. 한 번 나가면 무효화할 길이 없다.

CI만으로 주민번호를 역산할 수는 없다. 다만 여러 서비스를 잇는 공통 열쇠라, 이름·생년월일·전화번호 같은 평문 정보와 맞물리면 한 사람 단위로 조각 정보를 엮는 연결고리가 된다. 티빙 사고는 CI·DI가 평문으로 이름·생년월일·성별 등과 함께 빠진 사례다.

9. CJ ONE 연동과 수평 이동 우려

티빙은 CJ올리브네트웍스가 운영하는 CJ ONE 통합 로그인(오픈ID)을 지원한다. CJ ONE은 올리브영·CU·CJ대한통운 등 제휴처 결제·포인트를 묶는 플랫폼으로, 가입자는 약 3,100만 명 규모로 알려졌다.

전문가들은 유출된 CI·회원 정보로 아이디·비밀번호 찾기·본인인증 절차 허점을 노리면, 티빙을 넘어 CJ ONE 및 계열 서비스로 피해가 번지는 수평 이동(Lateral Movement) 가능성을 경고한다. 계정·포인트 탈취 등 금전 피해로 이어질 수 있다는 분석이다. 티빙은 CJ ONE 등 연동 영향도를 검토 중이다.

10. 보관·암호화 규정을 둘러싼 논란

KISA 지침은 본인확인시스템 내부에 CI·DI를 그대로 저장하지 말 것을 권고한다. 검증 후 즉시 폐기하거나 격리·암호화 보관이 바람직하다.

연계정보 저장 시 암호화 의무는 2027년 5월 시행 예정이다. 현행법만으로 CI 평문 보관이 곧바로 위법이라고 단정하긴 어렵지만, 악용 위험이 큰 정보를 대량·장기 보관한 점은 비판을 받는다. OTT가 DB 침해로 CI·DI를 통째로 빼앗긴 구조 자체도 쟁점이다.

11. 조사·과징금·이용자 구제

과징금은 행정처분으로 국고에 귀속되며 이용자에게 직접 지급되지 않는다. 기존 개인정보보호법은 전체 매출액 3% 이내, 2025년 12월 개정으로 중대 유출 시 최대 10%까지 상향됐다. 이번 사고가 중대 사고로 판단되면 강화 규정 적용 가능성이 거론된다.

이용자가 쓸 수 있는 구제 수단은 다음과 같다.

1. 법정손해배상(개인정보보호법 제39조의2): 집단소송 등에서 구체 손해 입증 없이 1인당 최대 300만 원 청구 가능. 기업이 고의·중과실 없음을 입증하지 못하면 책임진다.
2. 일반 손해배상: 실질 금전·정신 피해가 있으면 민사소송.
3. 개인정보분쟁조정위원회 조정: 소송보다 간단한 경로.

12. 이용자가 지금 할 수 있는 일

CI는 바꿀 수 없으니, 같은 비밀번호를 쓰던 다른 서비스 비밀번호부터 모두 변경한다. 이름·생년월일·전화번호를 정확히 아는 맞춤형 피싱·스미싱을 당분간 경계한다. CJ ONE·티빙 등 연동 계정의 로그인 알림·포인트 변동도 수시로 확인한다.

핵심 포인트: 비밀번호는 바꾸면 끝나지만 CI는 그렇지 않다. 티빙 사고는 평문 CI·DI와 식별 정보가 한꺼번에 유출된 사례라, 단순 계정 탈취와 위험의 성격이 다르다.

13. 마무리

핵심 요약:

• 티빙은 6월 3일 공지 기준 CI·DI를 평문 포함 다수 항목이 유출됐다고 밝혔고, 공식 피해 인원·보상안은 아직 미정이다.
• CI(연계정보)는 88바이트·사이트마다 동일, DI(중복가입확인정보)는 64바이트·사이트마다 다르다.
• CI는 평생 변하지 않아 유출 후 무효화가 어렵고, CJ ONE 연동으로 피해 확산 우려가 제기됐다.
• 과징금은 국고 귀속이며, 이용자는 법정손해배상(최대 300만 원)·분쟁조정·민사소송 등을 검토할 수 있다.
• 당장 할 일은 타 서비스 비밀번호 변경, 맞춤형 사칭 연락 경계, 연동 계정 이상 징후 확인이다.

자주 묻는 질문

• 티빙 유출 피해자는 몇 명인가요?

  티빙은 아직 공식 피해 인원을 공개하지 않았습니다. 영향 범위를 확인 중이며 개별 안내하겠다는 입장입니다. 보안 업계에서는 MAU 약 700만 명 규모를 근거로 CI·DI 탈취 규모를 추산하지만, 이는 확정 수치가 아닙니다.

• CI와 DI의 가장 큰 차이는 무엇인가요?

  CI는 어느 사이트에서든 같은 사람이면 같은 88바이트 값이 나오며 서비스 간 동일인을 연결합니다. DI는 사이트 식별번호가 섞인 64바이트 값이라 사이트마다 달라지고, 한 서비스 안에서 중복 가입을 막는 데만 씁니다.

• CI가 유출되면 제 주민등록번호도 노출되나요?

  CI는 주민번호를 일방향 해시로 바꾼 값이라 원래 주민번호를 되돌릴 수 없습니다. CI만으로 주민번호가 바로 풀리지는 않습니다. 다만 여러 서비스를 잇는 공통 식별값이라 다른 유출 정보와 맞물리면 한 사람으로 엮이는 위험은 있습니다.

• CJ ONE 계정도 위험한가요?

  티빙은 CJ ONE 통합 로그인을 지원합니다. 유출된 CI·회원 정보로 계정 찾기·본인인증 절차를 노리면 티빙을 넘어 CJ ONE·제휴 서비스로 피해가 번질 수 있다는 전문가 경고가 나왔습니다. 연동 계정 로그인 알림과 포인트 변동을 수시로 확인하는 편이 좋습니다.

• 티빙 보상은 어떻게 받나요?

  티빙 자체 보상안(이용권·환불 등)은 아직 구체적으로 발표되지 않았습니다. 이용자는 법정손해배상(집단소송 시 1인당 최대 300만 원), 개인정보분쟁조정위원회 조정, 실질 피해가 있으면 민사소송 등을 검토할 수 있습니다.

• 과징금은 이용자에게 지급되나요?

  아닙니다. 과징금은 정부가 기업에 부과하는 행정처분으로 국고에 귀속됩니다. 이용자 개인 배상은 법정손해배상·민사소송·분쟁조정 등 별도 경로로 청구합니다.

• CI가 유출됐는데 왜 비밀번호처럼 바꿀 수 없나요?

  CI는 주민등록번호에서 나온 값이고 주민번호는 평생 바뀌지 않기 때문에 CI도 재발급·변경이 사실상 불가능합니다. 비밀번호는 새로 정하면 위험을 끊을 수 있지만, CI는 한 번 나가면 무효화할 방법이 없다는 점이 다릅니다.

• 티빙 유출 통지 문자는 언제 오나요?

  6월 3일 회원 공지 이후 가입 휴대폰으로 개별 발송이 시작됐습니다. 본 문서 작성자는 2026년 6월 4일 오후 4시 18분 [Web발신] 문자를 받았고, 유출 항목·대응 조치·행동 요령이 담긴 사과 안내 형식이었습니다. 고객별로 어떤 항목이 빠졌는지는 별도 안내 예정이라고 적혀 있습니다.

• CI·DI가 포함된 유출 통지를 받으면 어떻게 해야 하나요?

  CI는 바꿀 수 없으니 같은 비밀번호를 쓰던 다른 서비스 비밀번호부터 모두 바꾸세요. 이름·생년월일·전화번호를 정확히 아는 맞춤형 피싱·스미싱이 늘 수 있으니 출처 불분명한 링크와 모르는 번호 연락은 당분간 경계하세요.