3954만개 계정이 유출된 티빙 개인정보 침해 사고가 모회사 CJ ENM의 정보보호 관리·감독 문제로 확대되고 있다. 최주희 티빙 대표에 이어 윤상현 CJ ENM 대표이사까지 국정감사 증인으로 채택되면서 자회사 보안 체계에 대한 모회사 차원의 관리와 투자가 검증대에 오르게 됐다.

26일 국회와 관련 업계에 따르면 국회 과학기술정보방송통신위원회는 지난 22일 전체회의에서 ‘2026년도 국정감사 증인 및 참고인 출석요구의 건’을 의결하고 윤상현 CJ ENM 대표와 최주희 티빙 대표를 증인으로 채택했다. 두 사람은 다음 달 6일 과학기술정보통신부 국정감사 증인으로 출석 요구를 받았다.

국회의 신문 대상은 구분된다. 최 대표에게는 티빙 해킹 사고와 고객 보상 등을, 윤 대표에게는 주요 종속회사인 티빙의 개인정보 침해 사고와 관련한 ‘모회사 차원의 정보보호 거버넌스와 투자, 관리·감독 체계’를 질의할 예정이다.

CJ ENM은 티빙 지분 48.85%를 보유한 최대주주다. CJ ENM 공시에서도 티빙은 주요 종속회사로 분류돼 있다.

국감에서 모회사 관리 체계가 신문 대상으로 지목된 가운데 정부 조사에서는 티빙의 보안 관리 부실이 잇따라 확인됐다. 과기정통부 민관합동조사단에 따르면 티빙은 임직원 265명, 개발인력 149명 규모였지만 내부 정보보호 전담인력은 약 4명에 그쳤다.

사전에 확인된 보안 취약점도 방치됐다. 티빙은 2024년 모의해킹에서 개발·운영환경 접속키가 소스코드에 그대로 노출되는 취약점을 발견했지만 개선하지 않은 것으로 조사됐다. 공격자는 개발자가 보유한 개발환경 접속키를 탈취해 내부에 침투했으며, 정부 조사에서도 해당 접속키의 최초 탈취 경로는 확인되지 않았다.

사고 대응 과정에서도 이상징후 발생 이후 정보보호 전담조직과 정보보호최고책임자(CISO)에게 상황이 전달되기까지 약 14시간이 걸렸다. 티빙은 5월 31일 오전 10시10분 침해사고를 인지했지만 한국인터넷진흥원 신고는 다음 날 오후 3시8분 이뤄져 법정 신고기한인 24시간도 넘겼다.

정부 조사 결과 유출된 계정은 활성계정 2206만개와 휴면·탈퇴 등 비활성계정 1737만개, 테스트계정 11만개 등 총 3954만개다. 한 사람이 여러 계정을 보유한 사례가 포함돼 있어 3954만명이 아닌 ‘3954만개 계정’이다. 성명과 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등이 유출됐으며 소스코드가 포함된 개발 프로젝트 361건도 외부로 빠져나갔다.

티빙은 사고 이후 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 확대하고 보안 전문인력을 향후 5년간 현재의 3배 수준으로 늘리겠다고 밝혔다. CEO 직속 정보보호혁신 자문위원회 신설 등 보안 거버넌스 강화 방안도 내놨다.

이번 과방위 증인 구성에서 SK텔레콤·KT·LG유플러스 등 통신 3사는 정보보호 책임자들이 보안 관련 증인으로 채택된 반면 티빙 사태에서는 최주희 대표와 모회사 CJ ENM 윤상현 대표가 함께 증인 명단에 올랐다.

이에 따라 다음 달 국감에서는 티빙의 직접적인 보안 관리 문제뿐 아니라 CJ ENM 경영진이 주요 종속회사의 정보보호 투자와 위험관리 체계를 어떻게 관리·감독해왔는지도 쟁점이 될 전망이다.