과학기술정보통신부에 따르면 이번 조사는 침해사고의 원인과 피해를 파악하기 위해 실시되었다. 조사 범위에는 키 탈취 경위, 공격자의 침투 경로, 피해 규모 및 영향도 분석, 전사 차원의 정보보호 관리체계 점검이 포함되었다.

피해 규모는 기술자산으로 소스코드가 포함된 티빙 개발 프로젝트 361건이 유출된 것으로 나타났다. 이용자 정보로는 로그인이 가능한 활성화 계정 2,206만 개, 비활성화 계정(휴면·탈퇴) 1,737만 개, 테스트 계정 11만 개 등 총 3,954만 개 계정이 유출되었다. 이 중 연계정보(CI) 중복 등 다수 중복 계정이 포함되어 있으며, 최대 13개 계정을 보유한 사례도 확인되었다. 가입 경로는 자체가입(726만), CJ ONE 통합회원(863만), SNS 간편가입(2,247만) 등 다양한 방식이 있었다.

계정 특성에 따라 유출된 정보의 차이가 존재하며, 유출된 정보 항목으로는 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)이 포함되었다. 비밀번호 및 환불 계좌번호는 암호화되어 있다. CI 보유 계정은 평균 11개 항목이 유출되었으며, CI 미보유 계정은 평균 5개 항목이 유출되었다. 개인정보의 세부 유출 규모는 개인정보보호위원회에서 확정할 예정이다.

사고 원인으로는 공격자가 개발자가 보유하고 있는 '접속키'를 탈취하여 티빙 내부 시스템에 침투하고 정보를 유출한 것으로 분석되었다. 키 관리체계 미비로 인해 공격에 악용될 수 있는 단초가 제공되었으며, 비정상 행위에 대한 모니터링 체계가 부재하여 공격자의 행위를 사전에 탐지하거나 대응하지 못한 것으로 나타났다. 또한 개발인력 대비 적은 정보보호 담당 인력(4명 내외), 로그 관리 미흡, '24년 모의해킹 취약점 미조치 등 전사 차원의 정보보호 관리체계가 미흡한 것으로 지적되었다.

재발 방지 대책으로는 키 이력 및 접근 권한 등을 관리하기 위한 체계 구축, 비정상 행위 탐지 및 모니터링 체계 강화, 충분한 정보보호 인력 및 예산 확보, 로그 저장 관리 정책 수립 및 취약점 조치 강화 등이 포함되었다. 침해사고 인지 시점인 '26.5.31 10:10으로부터 24시간이 지난 이후 신고가 이루어져('26.6.1 15:08) 정보통신망법 상 신고 지연에 따른 과태료 처분이 예정되어 있다.

과학기술정보통신부는 기존에 발표된 기업의 책임성 및 정보보호 역량 강화를 위한 정보보호 종합대책을 차질 없이 이행할 계획이다. 국민 밀접 분야에 대한 보안 점검, ISMS·ISMS-P 인증제도 개선, 보안 취약점 신고·조치·공개제도 시범사업(CVD/VDP 제도) 등 후속 조치를 추진할 예정이다. 중대·반복 위반에 대한 제재 강화, 정보보호 투자 확대, 정부의 선제적 사고 조사 및 이행 강제금 등 개인정보보호법(9.11) 및 정보통신망법(10.1) 개정 법안의 차질 없는 시행과 현장 이행 상황을 지속 점검할 계획이다.