티빙, 방치·지연이 부른 참사…3954만 ‘속수무책’ 털렸다 [MD이슈]

[마이데일리 = 김지우 기자] 티빙이 개인정보 유출 사고에 대해 공식 사과하고 대규모 보안 강화 대책과 피해 보상안을 내놨다. 하지만 2024년 모의해킹에서 발견된 접속키 노출 취약점이 개선되지 않은 경위와 사고 신고가 늦어진 과정이 드러나면서 관리 체계에 대한 책임론이 불거졌다.

티빙은 3일 오후 서울 중구 코리아나호텔에서 개인정보 유출 사고 관련 설명회를 열었다. 이날 과학기술정보통신부 민관합동조사단은 티빙에서 활성·휴면·탈퇴·테스트 계정을 포함해 총 3954만개 계정의 개인정보가 유출됐다고 발표했다. 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 기술자산도 외부로 빠져나간 것으로 조사됐다.

유출된 개인정보는 성명과 생년월일, 휴대전화번호, 이메일주소, 연계정보(CI) 등 20개 항목, 총 70종이다. 공격자는 지난 5월 29일 개발환경 접속키를 탈취해 티빙 개발환경에 침입한 뒤 정보를 빼낸 것으로 파악됐다.

최주희 티빙 대표는 사고에 대해 “안전한 서비스를 제공해 드리지 못한 점에 대해 대표이사로서 무거운 책임을 느낀다”며 사과했다.

문제는 해당 취약점이 갑자기 발생한 것이 아니라는 점이다. 과기정통부 조사단에 따르면 티빙은 2024년 모의해킹을 통해 소스코드에 개발·운영환경 접속키가 노출되는 취약점을 확인하고도 이를 개선하지 않았다. 접속키 관리와 접근권한 통제 역시 미흡했던 것으로 조사됐다.

티빙 측은 당시 모의해킹 대상에 해당 프로젝트가 포함되지 않았으며, 이후 서비스 변화 과정에서 해당 프로젝트를 인계받아 변경 작업을 진행하던 중 공격을 받았다고 해명했다.

조성대 티빙 네트워크기술본부장은 “이후 티빙의 서비스 변화 과정에서 접속키를 사용하는 프로젝트를 인계받게 됐다”며 “해당 부분에 대한 변경 작업을 진행 중이었지만 그 과정에서 해킹 공격을 받아 미처 예방하지 못했다”고 설명했다.

사고 신고가 늦어진 점도 문제로 지적됐다. 조사단은 5월 31일 오전 10시10분 보안팀에 접속키 탈취와 정보유출 의심 상황이 전달된 시점을 사고 인지 시점으로 판단했다. 그러나 티빙은 다음 날인 6월 1일 오후 3시8분에야 한국인터넷진흥원(KISA)에 신고했다. 법정 신고 기한인 24시간을 약 5시간 넘긴 셈이다.

티빙은 보안팀이 상황을 파악한 시점과 경영진에 보고돼 사고 대응 TF가 가동된 시점 사이에 차이가 있었다고 설명했다. 그러면서 내부 사고 전파 체계의 미흡함을 인정하고 보안 거버넌스를 전면 재편하겠다고 밝혔다.

보안 투자와 인력도 확대한다. 티빙은 올해 약 30억원 수준인 정보보호 투자액을 2030년 100억120억원까지 늘리고, 내부 정보보호 전담인력을 연내 10명 수준으로 확대할 계획이다. 5년 내 보안 전문인력을 2530명 수준으로 늘리고 제로 트러스트 기반 보안체계와 외부 검증체계도 도입한다.

피해 고객에 대한 보상안도 마련했다. 개인정보 유출이 확인된 고객에게 1년간 최대 300만원을 보장하는 해킹·피싱 안심보험과 5000원 상당의 티빙 포인트, 웨이브·CGV 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 제공한다. 현재 구독 중인 고객에게는 3개월간 프리미엄급 시청 환경 업그레이드도 별도 신청 없이 적용한다.

보상 신청은 7일부터 30일까지 진행된다. 탈퇴·휴면 고객은 재가입 후 신청할 수 있다.

하지만 이번 사고에 대한 책임 논란은 보상과 재발 방지 대책만으로 끝나기 어려워 보인다. 취약점이 사전에 확인됐음에도 개선되지 않았고, 사고 인지와 신고 과정에서도 대응 체계의 허점이 드러난 만큼 관리·감독 책임이 어디에 있었는지 따져볼 필요가 있다. 고객 신뢰 회복을 위해서는 후속 조치뿐 아니라 책임 소재를 명확히 하는 과정도 뒤따라야 한다.