국내 OTT 플랫폼 티빙 측이 사이버 침해 사고 관련한 공식 사과와 함께 정보보안 투자 계획과 고객 보상 패키지를 발표했다.
3일 오후 서울 중구 코리아나호텔에서 ‘티빙 사이버 침해 사고 관련 공식 사과 및 설명회’가 진행됐다. 국내 OTT 플랫폼 티빙이 대규모 개인정보 유출 사고와 관련해 3개월 만에 공식 사과 자리로 티빙 대표이사 및 주요 경영진들이 참석했다.
이날 과학기술정보통신부는 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과 유출된 계정은 로그인이 가능한 활성 계정이 2206만 개, 비활성 계정은 1737만 개였다. 비활성 계정에는 휴면 계정 850만 개와 탈퇴 계정 887만 개가 포함됐다. 테스트 계정도 11만 개 유출됐다.
이에 대해 티빙 측은 4대 핵심 전략을 기반으로 보안 체계를 전면 재확립한다고 밝히며 “정보 보호 투자·보안 인력 확대 및 제로 트러스트 기반 보안 체계 재구축, 조직 거버넌스 및 보안 문화 재정립, 외부 협력 통한 전문성 강화”등을 언급했다.
정보 보호 투자와 전문 인력을 대폭 확대한다고 밝힌 티빙 측은 “2030년까지 정보 보호 투자를 직전 5년 대비 약 4배로 확대하여 자체 보안 역량을 강화할 방침”이라며 “보안 조직은 프로덕트 보안·클라우드 보안·전사 IT 보안·컴플라이언스 보안 체계로 세분화하고, 전문 인력도 향후 5년간 현재의 3배로 확충한다”고 밝혔다.
“보안의 기본 원칙 역시 제로 트러스트(Zero-Trust)로 전면 고도화한다”고 발표한 티빙 측은 “먼저 인증·접근 통제 방식을 단계별로 매번 검증하는 전사 보안 표준 시스템으로 일원화하고, 최소 권한 원칙을 중심으로 직무와 목적에 따라 필요한 범위 내에서만 권한이 부여되도록 체계를 표준화한다. 아울러 내부 침해를 전제로 시스템과 네트워크 영역을 분리 차단하고, 개인정보 등 중요 데이터에 대한 보호 수준을 한층 강화하는 등 보안 구조 자체를 정밀화한다. 마지막으로 AI 기반 지능형 탐지와 실시간 자동 대응 체계를 강화해, 위험이 감지되는 즉시 차단과 격리가 이뤄지도록 보안 수준을 강화할 방침”이라고 설명했다.
또한 보안 거버넌스 체계를 쇄신하고 전사 보안 문화를 재정립하는 방안도 추진된다. 티빙 측은 “CEO-CISO·CPO 체계 아래 실무 보안협의체를 신설해 신속하고 일관된 대응 체계를 공고화하며, 보안 이슈 발굴부터 의사결정, 실행, 점검까지 이어지는 선순환 구조를 확립한다. 아울러 직무 맞춤형 보안 교육과 실전형 모의훈련을 정례화함으로써 전 구성원이 보안의 주체가 되는 문화를 정착시켜 나갈 예정”이라고 말했다.
마지막으로 외부 보안 전문가를 통한 객관적 검증 체계를 구축한다고 강조한 티빙 측은 “CEO 직속 ‘정보보호혁신 자문위원회’를 발족해, 다각적 검증과 정책·시스템 전반에 대한 자문을 강화하는 등 보안 정책과 기술 체계의 완성도를 지속적으로 높여 나갈 계획”이라고 강조했다.
티빙 측은 보상 방안에 대해서도 언급했다. 고객의 신뢰를 회복하고 추가 피해를 예방하기 위해 △해킹·피싱 안심 보험 △ 프리미엄급 시청 환경 업그레이드 △티빙 포인트 △엔터테인먼트 쿠폰으로 구성된 보상 패키지를 제공한다고 말했다.
안심 보험은 1년간 제공되며, 해킹·피싱에서 비롯된 사이버 금융사기는 물론 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만 원을 보상한다. 또한 별도 신청 없이 자동으로 프리미엄급 시청 환경으로 업그레이드된다.
이어 최신 영화 등을 개별 구매할 때 사용할 수 있는 5,000원 상당의 티빙 포인트를 지급한다. 여기에 웨이브 AVOD 1개월(5,500원)· CGV 콤보 3종 5,000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 제공한다. 보상 패키지는 9월 7일부터 30일까지 신청을 받아 10월 6일부터 적용된다.
보상안과 관련해 장윤경 본부장은 “보상안의 지급에 차등은 없다. 모든 정보가 유출된 고객에게 동일한 혜택이 나갈 예정”이라며 “일부 혜택은 이용권을 구독하셔야 제공 받을 수 있으며, 티빙 포인트의 경우 유료구독을 하지 않아도 정보 유출이 된 고객들에게 지급될 예정”이라고 추가로 밝혔다.
한편 티빙은 지난 6월 개인정보를 저장하는 데이터베이스에 비인가 접근이 이루어져 개인정보가 유출된 사실을 공개했다. 유출된 개인정보 항목은 아이디, 이름, 생년월일, 연계정보(CI), 중복가입 확인정보(DI), 전화번호, 이메일, 환불 계좌번호, 비밀번호, 이외 서비스 이용과 관련된 정보 등이다.
사고 원인은 접속키 관리 부실이었던 것으로 전해졌다. 공격자가 ‘개발환경 접속키’를 탈취해 내부 시스템에 침투해 개발 프로젝트 361건을 유출했다. 이후 소스코드 안에 노출된 ‘운영환경 접속키’ 43개를 추가로 확보, 실제 운영환경에 침투했다.
[태평로(서울)=금빛나 MK스포츠 기자]