국내 대표 온라인동영상서비스(OTT) 플랫폼인 티빙(TVING)이 대규모 개인정보 유출 사고를 공식 인정하면서 이용자 불안이 확산되고 있다. 회사 측은 즉각적인 차단 조치와 함께 피해 확산 방지에 나섰지만, 개인정보 보호 책임 논란과 함께 향후 법적·재무적 부담도 상당할 것으로 전망된다.

비인가 접근 통해 회원정보 외부 유출

티빙은 지난 2일 개인정보가 저장된 데이터베이스(DB)에서 외부의 비정상적인 접근 행위를 확인했으며, 조사 과정에서 일부 회원 정보가 외부로 유출된 사실을 파악했다고 밝혔다.

현재까지 확인된 유출 정보는 회원 아이디(ID), 이름, 생년월일, 성별 등 기본 인적사항을 비롯해 연계정보(CI)와 중복가입확인정보(DI) 등 본인확인 관련 정보가 포함된 것으로 알려졌다. 또한 휴대전화 번호 일부(마지막 4자리), 이메일 주소 일부(ID 영역), 환불 계좌번호 등도 암호화된 형태로 유출된 것으로 조사됐다.

비밀번호 역시 단방향 암호화 방식으로 저장돼 있었지만, 보안 전문가들은 공격자가 추가 정보를 확보할 경우 계정 탈취 시도가 발생할 가능성을 완전히 배제할 수 없다고 지적한다.

다만 주민등록번호와 결제카드 정보 등 민감 금융정보는 별도 시스템에서 관리되고 있어 이번 유출 대상에는 포함되지 않은 것으로 확인됐다.

긴급 대응 나선 티빙…“추가 피해 방지 총력”

티빙은 사고 인지 직후 공격에 사용된 것으로 추정되는 IP를 전면 차단하고, 클라우드 접근통제 정책을 재정비하는 등 긴급 대응 체계를 가동했다.

현재 데이터베이스 접근 기록에 대한 실시간 모니터링을 강화하고 있으며, 추가 침해 여부를 확인하기 위한 포렌식 조사도 진행 중이다.

아울러 피해 이용자 지원을 위해 전담 고객센터를 운영하고 있으며, 개인정보 악용 가능성에 대비한 상담 및 구제 절차도 마련했다.

회사 측은 "사고 원인과 정확한 영향 범위를 확인하는 데 집중하고 있으며 관계 기관 조사에도 적극 협조하고 있다"며 "재발 방지를 위한 보안체계 전면 개선 작업을 추진할 예정"이라고 설명했다.

최주희 대표 “모든 책임은 티빙에 있다”

사고 발생 다음 날인 3일, 최주희 티빙 대표이사는 공식 사과문을 통해 이용자들에게 직접 고개를 숙였다.

최 대표는 "이용자 여러분께서 믿고 맡겨주신 개인정보를 안전하게 보호하지 못한 점에 대해 깊이 사과드린다"며 "이번 사고에 대한 책임은 전적으로 티빙에 있다"고 밝혔다.

이어 "정부와 관계 기관의 조사에 성실히 협조하고 있으며, 진행 상황과 후속 조치를 투명하게 공개하겠다"면서 "보안체계를 원점에서 재점검해 동일한 사고가 재발하지 않도록 하겠다"고 강조했다.

또한 피해 가능성이 있는 이용자들을 대상으로 개별 안내를 진행하고 있으며, 향후 피해 구제와 이용자 보호를 위해 끝까지 책임을 다하겠다고 약속했다.

<개인정보 유출 사실 공지사항, 출처: 티빙 홈페이지>

개인정보보호법상 대규모 제재 가능성

업계에서는 이번 사고가 단순 보안 사고를 넘어 티빙의 경영 전반에 상당한 영향을 미칠 수 있다고 보고 있다.

현행 개인정보보호법에 따르면 개인정보처리자가 안전성 확보 의무를 소홀히 한 것으로 판단될 경우 전체 매출액의 최대 3% 범위 내에서 과징금이 부과될 수 있다.

또한 이용자들은 별도의 손해 입증 없이도 법정손해배상을 청구할 수 있으며, 기업의 중대한 과실이나 고의성이 인정될 경우 실제 피해액의 최대 5배까지 징벌적 손해배상이 적용될 가능성도 존재한다.

특히 OTT 플랫폼 특성상 수백만 명의 회원 정보를 보유하고 있는 만큼 집단분쟁조정이나 집단소송으로 이어질 경우 기업 이미지와 브랜드 신뢰도에도 적지 않은 타격이 예상된다.

과기정통부, 민관합동조사단 구성

정부도 즉각 조사에 착수했다.

과학기술정보통신부는 사건의 중대성을 고려해 민관합동조사단을 구성하고 침해 경로와 보안 취약점, 추가 피해 가능성 등을 집중 조사하고 있다.

조사심의위원회는 이번 사건을 '중대 정보통신사고'에 해당하는 사안으로 판단한 것으로 알려졌다. 향후 조사 결과에 따라 행정처분, 개선명령, 과징금 부과 여부 등이 결정될 전망이다.

보안 전문가들은 이용자들에게 티빙 계정과 동일한 아이디·비밀번호를 사용하는 다른 서비스가 있다면 즉시 비밀번호를 변경할 것을 권고하고 있다.

특히 이메일 계정, 금융서비스, 간편결제 서비스 등 주요 계정에 동일한 인증정보를 사용 중인 경우 계정 탈취나 스미싱, 피싱 공격 등 2차 피해 가능성이 존재하기 때문이다.

업계 관계자는 "최근 개인정보 유출 사고는 단순 정보 노출에서 끝나지 않고 계정 침해와 금융사기 등으로 이어지는 경우가 많다"며 "이용자 스스로도 비밀번호 변경과 다중인증(MFA) 설정 등 추가적인 보안 조치를 취할 필요가 있다"고 말했다.

감사·내부통제 전문지 BLACK EDGE / 강호림 기자