티빙이 9월3일 광화문 코리아나호텔에서 열린 사이버 침해사고 설명회를 열고, 최근 대규모 개인정보 유출사고에 대해 사과했다. [사진=디지털데일리]

[디지털데일리 정혜승기자] 온라인동영상서비스(OTT) 티빙에서 중복을 포함해 3954만개에 달하는 계정 정보가 유출됐다. 티빙은 공식 사과하고 정보보호 혁신 방안과 고객 보상 계획을 내놨다.

3일 정부 민관합동조사단은 티빙 침해사고 조사 결과를 발표했다. 같은날 티빙 서울 코리아나호텔에서 설명회를 열고 고객 보상안을 공개했다.

◆ 유출 계정 중복 포함 3954만개…첫 공격 잡고도 오판

과학기술정보통신부에 따르면 이번 사고로 확인된 유출 계정은 중복 포함 총 3954만697개다. 로그인이 가능한 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 휴면·탈퇴 계정만 약 1737만개로 전체의 44%에 달한다.

이는 실제 이용 규모와 큰 차이가 있다. 모바일인덱스 기준 8월 티빙 월간활성이용자(MAU)는 약 815만명이다. 중복계정이 이용자 산출이 달리 된 것으로 풀이된다. 실제 1명이 최대 13개 계정을 보유한 사례도 있다. 티빙 자체가입과 CJ ONE 통합회원, 네이버·카카오·애플 등 SNS 간편가입으로 가입경로가 다양했던 탓이다.

다만 정부가 중복 여부를 확인할 수 있었던 것은 개인식별정보(CI) 보유 계정이 있어서다. CI 보유 계정은 중복을 제거하면 약 1323만개로, 이 가운데 휴면 계정이 370만개, 탈퇴 계정이 5만개다. 반면 CI가 없는 약 2040만개 계정은 중복 여부를 확인하기 어렵다.

이 때문에 정확한 피해자 수는 아직 불명확하다. 기존에 알려진 1953만명은 티빙이 자체적으로 중복을 제거해 개인정보보호위원회에 신고한 수치로 정부가 검증한 최종 피해자 수는 아니다. 최종 규모는 개인정보위 조사에서 가려질 전망이다.

유출 정보는 ID·이름·휴대전화번호·이메일·생년월일·CI·DI·환불계좌·결제이력 등 20개 항목 70종이다. 휴대전화번호와 이메일 일부는 암호화됐지만 암호화키도 함께 유출돼, 조사단은 사실상 평문 유출과 같은 수준으로 봤다. 다만 티빙 계정이 유출됐다고 해서 네이버·카카오 등 SNS 사업자가 보유한 정보까지 유출된 것은 아니라고 정부는 선을 그었다.

공격은 개발자의 접속키 탈취에서 시작됐다. 공격자는 지난 5월 29일 개발환경에 침투해 개발 프로젝트 361건을 유출한 뒤, 소스코드에 저장된 운영환경 접속키를 확보했다.

5월 30일 첫 유출 시도에서 데이터베이스(DB) CPU 이용률이 100%까지 치솟는 이상징후가 발생했고 티빙이 이를 차단했지만, 해킹으로 판단하지 못해 추가 조치를 하지 않았다. 공격자는 이튿날 다른 접속키로 재침투해 약 24GB의 이용자 정보를 해외 서버로 빼냈다.

◆ 티빙 "겸허히 수용"…최주희 대표 사과

최주희 티빙 대표는 이날 설명회에서 "이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"고 밝혔다. 이어 "민관합동조사단의 조사 결과를 겸허히 수용한다"며 "고객 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다"고 말했다.

정부는 이번 유출의 배경으로 티빙의 보안통제 부실을 지목했다. 접속키를 소스코드와 개발자 단말기에 평문으로 저장하고 일부는 사내 메신저로 공유했으며, 모든 개발자가 361개 프로젝트 전체에 접근할 수 있는 구조였다. 특히 티빙은 2024년 모의해킹에서 접속키가 소스코드에 하드코딩된 취약점을 발견하고도 개선하지 않은 것으로 나타났다.

이에 대해 티빙은 "당시 모의해킹 대상에는 이번 사고와 관련된 프로젝트가 없었다"며 "이후 서비스 변화 과정에서 접속키를 쓰는 프로젝트를 인계받아 개선 작업을 진행 중이었으나 완료 전에 공격이 발생했다"고 설명했다.

침해사고 신고도 법정기한을 넘겼다. 조사단은 사고 인지 시점을 5월31일 오전 10시 10분으로 봤지만, 티빙은 경영진 보고와 대응 태스크포스(TF)가 가동된 오후 3시 9분을 인지 시점으로 봤다. 이 차이로 약 5시간의 시차가 생겼다. 과기정통부는 정보통신망법에 따라 최대 3000만원의 과태료를 부과할 예정이다.

◆ 보상 패키지, 1인당 체감 2만원…탈퇴자는 재가입해야

티빙은 유출 고객에게 동일한 보상 패키지를 제공한다. 유출 정보 종류나 피해 정도에 따른 차등 보상은 하지 않는다. 패키지는 해킹·피싱 안심보험, 프리미엄급 시청환경 업그레이드, 티빙 포인트, 엔터테인먼트 쿠폰으로 구성된다.

안심보험은 1년간 제공된다. 해킹·피싱에서 비롯된 사이버 금융사기는 물론 인터넷 쇼핑몰 사기, 개인 간 직거래 사기까지 1인당 최대 300만원을 보상한다. 별도 신청 없이도 계정이 프리미엄급 시청환경으로 업그레이드된다. 여기에 5000원 상당 티빙 포인트와, 웨이브 AVOD 1개월(5500원)·CGV 콤보 5000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 준다.

보상 신청은 오는 7일부터 30일까지 받고, 패키지는 10월 6일부터 적용된다. 티빙은 보상 패키지의 1인당 체감 가치를 약 2만원으로 추산했다.

탈퇴·휴면 이용자도 보상 대상에 포함된다. 다만 보상이 티빙 서비스를 통해 제공되는 구조라 탈퇴자는 재가입이 필요하다. 유료 구독을 다시 할 필요는 없다. 이번 보상과 별개로 법적 배상이나 과징금은 향후 조사 결과에 따라 별도로 책임진다는 입장이다.

◆ 정보보호 투자 4배·인력 3배로

티빙은 재발방지를 위한 4대 전략도 내놨다. 정보보호 투자·인력 확대, 제로 트러스트 기반 보안 체계 재구축, 조직 거버넌스 재정립, 외부 협력을 통한 전문성 강화다.

정보보호 투자는 2030년까지 직전 5년 대비 약 4배로 늘린다. 지난해 약 25억원, 올해 약 30억원 수준을 2030년 연 100억~120억원까지 끌어올린다는 계획이다.

보안 인력도 향후 5년간 현재의 3배로 확충한다. 현재 내부·외부 합쳐 약 10명 수준이나 5년간 25~30명까지 늘린다. 올해 말까지는 내부 인력을 10명 수준으로 확대한다.

인증·접근 통제를 매번 검증하는 제로 트러스트 원칙도 고도화한다. 최소 권한 원칙에 따라 직무와 목적에 맞는 범위에서만 권한을 부여하고, 내부 침해를 전제로 시스템과 네트워크를 분리 차단한다.

거버넌스는 최고경영자(CEO)·최고정보보호책임자(CISO)·최고개인정보보호책임자(CPO) 체계 아래 실무 보안협의체를 신설한다. CEO 직속 '정보보호혁신 자문위원회'도 발족한다. 총 4명으로 구성하며 현재 3명을 위촉했다.

한편 과기정통부는 이달 중 티빙으로부터 재발방지 이행계획을 제출받아 10~12월 개선 조치를 확인하고, 내년 1월부터 이행점검에 나설 예정이다.