3954만 개의 계정이 털렸다. 아이디와 이름, 생년월일, 휴대전화번호는 물론 사실상 변경도 어려운 ‘온라인 주민번호’ CI까지 넘어갔다. 그 대가로 티빙이 내놓은 것은 회사 추산 1인당 약 2만원짜리 보상 패키지다.

심지어 현금 배상도 아니다. 탈퇴 고객이 혜택을 받으려면 다시 티빙에 가입해야 하고, 신청할 수 있는 기간도 단 24일뿐이다. 한번 유출된 개인정보의 위험은 오래 남지만, 상당수 혜택은 티빙이나 제휴 서비스를 이용해야 체감할 수 있는 방식으로 묶였다. 신청 창구마저 채 한 달도 열리지 않는 만큼 피해 규모에 걸맞은 실질적인 보상인지 의문이 남는다.

3일 오후 서울 중구 코리아나호텔에서 ‘티빙 사이버 침해 사고 관련 공식 사과 및 설명회’가 열렸다. 사고 발생 약 3개월 만에 마련된 공개석상 사과 자리에는 최주희 티빙 대표이사를 비롯한 주요 경영진이 참석했다.

이에 앞서 과학기술정보통신부 민관합동조사단은 같은 날 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사 결과 로그인이 가능한 활성화 계정 2206만 개와 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 중복을 포함해 총 3954만 개의 계정 정보가 유출된 것으로 확인됐다.

유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태로 유출됐으나, 암호화키가 함께 유출되어 복호화가 가능함에 따라 평문으로 유출된 정보와 동일한 수준으로 판단했다. 비밀번호는 일방향 암호화된 상태로 유출됐고 평문으로 복호화가 불가능한 상태였다. 연계정보(CI) 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이도 존재했다. CI 보유 계정의 경우 더 많은 정보가 유출된 것으로 나타났다.

사이버 침해 사고와 관련해 티빙의 최주희 대표이사는 “이번 침해 사고로 인해 고객 여러분께 큰 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “오늘 발표된 사이버 침해사고 민관합동조사단의 최종 조사 결과를 겸허히 받아들이며, 지적된 사항에 대한 필요한 모든 시정 조치와 재발 방지 대책을 책임감을 가지고 끝까지 이행할 것”이라고 고개숙였다.

조사단은 접속키 관리 체계 미비와 비정상 행위 탐지·대응 체계 부재, 정보보호 거버넌스 미흡 등을 사고의 주요 원인으로 지적했다.

조사단에 따르면 공격자는 티빙 개발자의 ‘개발환경 접속키’를 탈취해 내부 시스템에 침투했다. 공격자는 개발환경에 무단 접속해 1차 공격에서 개발 프로젝트 14건을 빼낸 데 이어, 2차 공격에서는 전체 개발 프로젝트 361건을 유출했다. 유출된 개발 프로젝트의 소스코드에는 실제 서비스 운영망에 접근할 수 있는 ‘운영환경 접속키’가 포함돼 있었다. 공격자는 이를 확보해 운영환경에 침투한 뒤 두 차례에 걸쳐 데이터베이스(DB) 정보 유출을 시도했다.

1차 시도에서는 DB 서버의 중앙처리장치(CPU) 이용률이 100%까지 치솟으면서 이상징후 알림이 발생했고, 티빙은 해당 작업을 차단했다. 그러나 이를 해킹 공격이 아닌 단순한 시스템 과부하로 판단해 별도의 후속 보안 조치에는 나서지 않았다. 공격자는 이튿날 운영환경 내부에 가상서버를 생성한 뒤 이용자 정보 24GB를 외부 서버로 빼돌렸다.

무엇보다 티빙이 2024년 모의해킹을 통해 개발·운영환경 접속키가 소스코드에 노출되는 취약점을 확인하고도 이를 개선하지 않은 사실이 이번 조사에서 드러났취약점을 확인하고도 개선 조치를 하지 않으면서 피해 규모를 키운 것에 대해 조성대 네트워크기술본부장은 “ 내·외부의 다양한 자산에 일관된 보안 조치를 적용하는 데 미흡했다. 전수조사를 거쳐 보안 조치를 강화했고, 같은 사태가 재발하지 않도록 최선을 다하겠다”며 “유출된 소스코드가 악용돼 발생할 수 있는 피해를 최소화하기 위해 노력하고 있다. AI를 통해 취약점을 분석하고 있으며, 대응 방안을 지속적으로 보완하고 있다”고 고개숙였다.

사고 인지와 보고 과정도 미흡했다. 이상징후가 발생한 뒤 사고 대응을 총괄하는 정보보호 전담조직과 최고정보보호책임자에게 상황이 공유되기까지 약 14시간이 걸린 것으로 조사됐다. 보고가 지연된 것에 대해 최 대표이사는 “실무진이 인지한 시점을 합조단은 오전 10시로 봤지만, 내부적으로는 사고가 경영진에게 보고된 뒤 태스크포스(TF)를 가동한 오후 3시를 인지 시점으로 판단했다”며 “이 과정에서 5시간의 차이가 발생했다”고 설명했다.

이어 “이번 사고를 통해 관련 이슈가 발생했을 때 이를 빠르게 전파하고 전사적으로 대응할 수 있는 체계가 미흡했다는 점을 깨달았다”며 “비슷한 문제가 발생할 경우 신속하게 공유하고 대응할 수 있도록 체계를 보완하겠다”고 밝혔다.

추가 피해를 막고 정보보호 체계를 강화하기 위해 티빙이 내세운 대책은 투자와 인력 확대다. 티빙은 오는 2030년까지 정보보호 투자 규모를 직전 5년 대비 약 4배인 100억원 수준으로 확대할 방침이다. 전문 인력도 향후 5년간 내부·외부 인력을 포함해 현재의 3배 수준으로 확충하고, 현재 4명인 내부 보안 인력을 올해 말까지 10명으로 늘릴 계획이다.

보안 조직은 프로덕트 보안·클라우드 보안·전사 IT 보안·컴플라이언스 보안 체계로 세분화한다. CEO 직속 ‘정보보호혁신 자문위원회’도 발족해 외부 보안 전문가의 객관적인 검증을 받겠다는 계획이다.

고민석 인사담당 부사장은 “내부 인력들은 올해 연말까지 총 10명으로 확대할 계획이다. 5년 안에 내부와 외부를 합쳐서 세 배 수준의 인력을 충원할 계획이다. 그 이후 투자 규모나 내부의 조직 개편 등을 종합적으로 검토해 내부에 있는 인력을 추가로 늘릴지 외부 인력을 늘릴지 검토해 나갈 것”이라며 “사고 직후 정보보안 혁신 자문회를 구성한 뒤 현재 총 3명이 위촉됐고, 추가로 한명 더 위촉할 예정”이라고 밝혔다.

유출된 기술자산의 정확한 피해액에 대해 티빙은 산정하기 어렵다고 명시했다. “피해 추정액은 무형의 자산이기에 명확하게 추정하기는 어렵다”고 말한 조 네트워크기술본부장은 “서비스를 운영하고 개발하는 데 필요한 모든 코드가 유출됐기에 2차 피해가 추가로 발생되지 않는 것에 집중하고 있다. 간접 피해가 발생하지 않도록 보완 조치에 강화하고 있다”고 전했다.

개인정보 유출 피해자들의 관심이 집중된 보상안도 공개됐다. 티빙은 고객 신뢰를 회복하고 추가 피해를 예방하기 위해 △해킹·피싱 안심보험 △프리미엄급 시청 환경 업그레이드 △티빙 포인트 △엔터테인먼트 쿠폰으로 구성된 보상 패키지를 제공한다고 밝혔다. 안심보험은 1년간 제공된다. 해킹·피싱에 따른 사이버 금융사기는 물론 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만원을 보장한다.

대상 고객에게는 프리미엄급 시청 환경으로의 업그레이드 혜택도 제공된다. 최신 영화 등을 개별 구매할 때 사용할 수 있는 5000원 상당의 티빙 포인트와 웨이브 광고형 주문형비디오(AVOD) 1개월 이용권 또는 CGV 콤보 3종 5000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰도 지급한다.

이번 보상안에 대해 “고객들에게 안심할 수 있는 것을 드리고 싶다”고 말한 장현경 사업관리본부장은 “티빙을 보면서 좋은 시청환경에서 서비스를 누리기 바라는 마음에 이를 체감할 수 있는 것들을 준비하려고 했다. 저희가 제공하는 피싱 안심보호의 경우, (해킹 피해와) 직결되지 않는다고 하더라도 고객이 안심할 수 있는데 기여할 수 있다고 봤다”고 설명했다.

보상 마련을 위해 산정한 금액에 대해서는 “얼마나 고객이 반응하고 어떤 옵션을 선택하느냐에 따라 전체 보상안의 가치가 달라지는 만큼, 구체적인 금액으로 환산하기는 어렵다”고 하면서도 “인당 약 2만 원 정도로 추산하고 있다”고 설명했다.

이번 보상안은 유출된 개인정보의 종류나 피해 규모와 관계없이 모든 대상자에게 동일하게 적용된다. 장 본부장은 “보상안 지급에 차등은 없다. 정보가 유출된 모든 고객에게 동일한 혜택을 제공할 예정”이라며 “프리미엄급 시청 환경은 이용권을 구독해야 제공받을 수 있지만, 티빙 포인트는 유료 구독 여부와 관계없이 유출 대상 고객 모두에게 지급된다”고 설명했다.

보상안은 개인정보 유출 이후 티빙을 탈퇴한 고객에게도 적용된다. 단, 혜택을 받으려면 티빙에 다시 가입해야 한다.

최 대표이사는 “탈퇴한 고객도 보상을 받을 수 있다”면서도 “보상 대상자 확인을 위해 기존에 보유한 정보와 신원을 대조해야 하기 때문에 불가피하게 재가입이 필요하다”고 해명했다. 장 본부장 역시 “보상안 자체가 서비스를 이용하면서 받을 수 있는 혜택으로 구성됐다”며 “탈퇴 고객은 재가입한 뒤 보상안을 받는 방식”이라고 덧붙였다.

보상 패키지 신청 기간은 9월 7일부터 30일까지다. 전체 신청 기간은 24일에 불과하며, 해당 기간에 신청하지 못한 피해자는 원칙적으로 보상받을 수 없다. 혜택은 10월 6일부터 적용된다.

장 본부장은 “24일의 신청 기간 안에 반드시 신청해야 혜택을 받을 수 있다”며 “문자와 이메일, 공지사항 등을 통해 지속적으로 신청을 안내할 예정”이라고 말했다. 다만 불가피한 사정으로 신청 기간을 놓친 이용자에 대해서는 “추가로 논의하겠다”고 밝혔을 뿐 구체적인 구제 방안은 내놓지 못했다.

티빙이 발표한 보상 패키지는 향후 법적 배상 책임과는 별개다.최 대표이사는 “충분하지 않겠지만 피해를 본 고객들을 위해 이번 보상안을 마련했다”며 “법적 배상이나 과징금은 법에 따라 정해지는 대로 책임을 다해야 한다고 생각한다”고 밝혔다.

[태평로(서울)=금빛나 MK스포츠 기자]

▶ 뉴진스 해린 1년 6개월 만에 공식 일정 예고
▶ 방시혁, 2631억 부당이득 혐의로 검찰 송치
▶ 김희정, 건강미 넘치는 독보적인 비키니 자태
▶ 강하빈 이지현 김세라, 종합격투기 TFC 라운드걸
▶ 메이저리그 김하성 시즌 첫 3안타…호수비까지

[ⓒ MK스포츠, 무단 전재, 재배포 및 AI학습 이용 금지]