[뉴스스페이스=김희선 기자] 티빙이 3954만개 계정 정보 유출 사고 뒤 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 늘리고, 보안 전문인력을 현재의 3배로 확대하겠다고 밝혔다. 그러나 이번 사태는 ‘투자 확대’보다 앞서, 개발·운영환경의 접속키 관리와 권한 분리, 이상행위 탐지라는 기본 통제가 작동했는지를 묻는 사건이다.

‘3954만 계정’의 실체

과학기술정보통신부 민관합동조사단 조사 결과, 유출 계정은 중복을 포함해 총 3954만개다. 이 가운데 실제 로그인이 가능한 활성 계정은 2206만개, 휴면·탈퇴 등 비활성 계정은 1737만개, 테스트 계정은 11만개로 집계됐다. 즉 ‘3954만명’은 고유 이용자 수가 아니라 중복과 비활성·테스트 계정을 함께 더한 계정 수라는 점을 구분해야 한다. 실제 이용자 피해 범위를 평가할 때는 활성 계정 2206만개와 중복 계정 여부를 별도로 따져야 한다.

유출 범위도 단순한 회원정보 사고를 넘어섰다. 조사단은 아이디·비밀번호·성명·생년월일·휴대전화번호·이메일주소·성별·연계정보(CI)·중복가입확인정보(DI)·결제이력 등을 포함한 20개 항목, 70종의 정보가 빠져나간 것으로 파악했다. 비밀번호는 일방향 암호화 방식이 적용돼 원칙적으로 복호화가 어렵지만, 휴대전화번호와 이메일주소는 암호화키가 함께 유출돼 사실상 평문 정보가 노출된 것에 준하는 위험으로 평가됐다.

기술자산 유출도 핵심 변수다. 소스코드 등을 포함한 개발 프로젝트 361건, 약 30.35GB가 외부로 유출됐다. 개인정보 유출은 피싱·계정탈취·명의도용 위험을 높이고, 소스코드 유출은 서비스 구조와 향후 보안 취약점이 공격자에게 노출될 수 있다는 점에서 장기 위험을 남긴다.

해커의 기술보다 내부 통제

조사단이 재구성한 공격 경로의 출발점은 개발자가 보유한 개발환경 접속키 탈취였다. 공격자는 이 키를 이용해 개발환경에 무단 접근한 뒤 개발 프로젝트를 빼냈고, 프로젝트 소스코드에 노출돼 있던 운영환경 접속키를 확보해 AWS 기반 운영환경과 이용자 데이터베이스로 침투했다.

특히 소스코드에서 운영환경 접속키 43개가 발견됐고, 이 중 41개는 코드에 직접 입력하는 하드코딩 방식으로 저장돼 있었던 것으로 전해졌다. 공격자는 그중 2개의 키를 활용해 운영환경에 침입한 것으로 조사됐다. 클라우드 전환이 진행된 기업에서 개발 편의성을 이유로 인증정보를 코드·설정파일에 남겨두는 관행이 얼마나 치명적인지를 드러내는 대목이다.

티빙은 2024년 모의해킹에서 개발·운영환경 접속키가 소스코드에 노출되는 취약점을 인지하고도 이를 개선하지 않았다는 지적도 받았다. 접속키가 암호화되지 않은 채 보관되고 사내 메신저 등을 통해 공유된 정황도 조사 과정에서 제기됐다. 이 사안이 사실이라면 이번 사고의 본질은 고도의 제로데이 공격이라기보다, 이미 식별된 위험을 시정하지 못한 ‘통제 실패’에 가깝다.

공격자는 5월 29일부터 31일까지 개발환경과 운영환경을 연쇄 침투한 뒤, 운영환경 내부에 가상서버를 만들고 이용자 정보 약 24GB를 외부로 유출한 뒤 흔적을 지우기 위해 가상서버를 삭제한 것으로 조사됐다. 최초 접속키 탈취 경로와 공격자 신원은 아직 확인되지 않아, 정부는 경찰 수사를 의뢰한 상태다.

보상안, ‘최대 300만원’의 조건

티빙의 고객 보상 패키지는 1년짜리 해킹·피싱 안심보험, 프리미엄급 시청 환경 업그레이드, 5000원 상당 티빙 포인트, 엔터테인먼트 쿠폰으로 구성된다. 안심보험은 해킹·피싱에 따른 사이버 금융사기뿐 아니라 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만원을 보상하는 방식이다. 다만 ‘최대 300만원’은 정액 지급이 아니라 실제 보상사유와 약관상 요건이 충족될 경우의 한도라는 점에서, 이용자는 보장 범위·면책 사유·입증 절차를 확인할 필요가 있다.

티빙은 최신 영화 등 개별 구매에 쓸 수 있는 5000원 포인트를 제공하고, 웨이브 광고형 주문형비디오(AVOD) 1개월 이용권 5500원 또는 CGV 콤보 3종 5000원 할인 쿠폰 중 하나를 선택하도록 했다. 보상 패키지는 9월 7일부터 30일까지 신청받아 10월 6일부터 적용할 예정이다.

회사 측은 보상 가치를 1인당 약 2만원 수준으로 추산한 것으로 알려졌다. 하지만 대규모 개인정보 유출의 손해는 즉시 발생하는 금전 피해만으로 환산하기 어렵다. 이용자 입장에서는 5000포인트보다 보이스피싱·스미싱·계정탈취에 노출되는 기간이 더 중요하며, 회사 측의 보상안은 법적 손해배상과 별개인 신뢰 회복 프로그램으로 봐야 한다.

투자보다 중요한 ‘검증 가능한 변화’

이번 사태는 토종 OTT의 보안이 콘텐츠 경쟁력과 별개로 존재할 수 없다는 점을 보여준다. 추천·검색 알고리즘, 이용자 결제·시청 데이터, 고객 식별정보가 결합된 OTT 플랫폼에서 개인정보 보호는 비용센터가 아니라 서비스 지속성의 기반이다.

결국 티빙의 ‘2030년까지 4배 투자’는 선언이 아니라 감사 가능한 실행계획이 돼야 한다. 특히 2024년 모의해킹에서 확인된 취약점을 제대로 고치지 못했다는 조사 결과가 나온 만큼, 앞으로의 신뢰 회복은 보안 예산 총액보다 취약점 발견부터 조치 완료까지의 책임·기한·검증 체계를 얼마나 투명하게 공개하느냐에 달려 있다. 글로벌 평균 데이터 유출 비용이 2025년 444만달러로 집계된 점을 고려하면, 예방 투자는 사고 이후의 보상·복구·평판 손실 비용을 줄이는 경영 인프라이기도 하다.