과기정통부 민관합동조사 결과 발표…비활성화 계정 1737만개 유출 확인
2년 전 접속키 취약점 ·신고 지연 확인… 과기정통부, 과태료 부과 방침
최주희 대표 대국민 사과… “30억 투자 시작으로 5개년 보안 예산 4배 확충”

온라인동영상서비스(OTT) 티빙(TVING)에서 기술 자산 361건과 약 3954만개(중복 포함)에 달하는 이용자 계정이 유출된 것으로 공식 확인됐다. 티빙은 향후 5년간 보안 투자를 4배로 늘리겠다는 쇄신안과 함께 1인당 약 2만원 상당의 보상 패키지를 내놨지만, 일각에서는 자사 포인트와 제휴 할인 위주의 보상 구조가 ‘기존 이용자 묶어두기’에 그칠 수 있어 실효성이 제한적일 수 있다는 지적도 나온다.

티빙은 3일 오후 4시 서울 코리아나호텔에서 설명회를 열고 공식 사과와 함께 정보보안 강화 방안 및 고객 보상 계획을 공개했다. 최주희 티빙 대표는 “조사 결과를 겸허히 수용하며 심려를 끼쳐드려 진심으로 사과드린다”며 “2030년까지 보안 투자를 직전 5년 대비 4배 확대하고 전담 인력도 3배 확충해 제로 트러스트(Zero-Trust) 체계를 재구축하겠다”고 밝혔다.

티빙은 고객 보상안으로 1인당 약 2만원 상당 가치의 4종 패키지를 제시했다. △사이버 금융·직거래 사기 피해 시 최대 300만원 한도 1년 안심 보험 △프리미엄급 시청 환경 자동 업그레이드 △최신 영화 개별 구매용 티빙 포인트 5000원권 △웨이브 AVOD 1개월권(5500원) 또는 CGV 콤보 5000원 할인권 택1 등이다. 신청 기간은 9월 7일부터 30일까지이며 10월 6일부터 적용된다.

티빙 관계자는 “사이버 범죄 우려를 덜기 위해 안심 보험 등을 패키지에 담았다”며 “정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고, 고객 신뢰 회복에 최선을 다하겠다”고 밝혔다.

티빙은 3일 오후 4시 서울 코리아나호텔에서 설명회를 열고 공식 사과와 함께 정보보안 강화 방안 및 고객 보상 계획을 공개했다. 사진은 최주희 티빙 대표. <사진=진채연 기자>

민관합동조사단 조사 결과에 따르면 유출된 티빙 계정은 로그인이 가능한 활성화 계정 2206만개, 휴면 및 탈퇴 계정을 포함한 비활성화 계정 1737만개, 테스트 계정 11만개 등 총 3954만697개 계정이다. 1명이 최대 13개 계정을 중복 보유한 사례가 확인돼 실제 유출 피해자는 약 1953만명으로 추정된다. 가입 방식별로는 SNS 간편가입(2247만개), CJ ONE 통합회원(863만개), 티빙 자체 가입(726만개) 순이었다.

유출된 항목은 아이디(CJ ONE 통합 아이디 포함), 비밀번호, 성명, 생년월일, 휴대전화 번호, 이메일 주소, 본인인증 연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 복호화가 불가능한 일방향 암호화 상태였으나, 휴대전화 번호와 이메일 주소는 암호화키가 함께 탈취돼 조사단으로부터 “사실상 평문 유출과 동일하다”는 판단을 받았다. 특히 CI 보유 계정(1904만개)은 평균 11.1개 항목(17.6종)이 유출됐다. 추천·검색 알고리즘과 결제 관리 체계 등이 담긴 소스코드 프로젝트 361건(30.35GB)도 빠져나갔다.

티빙은 고객 보상안으로 1인당 약 2만원 상당 가치의 4종 패키지를 제시했다.  <사진=진채연 기자>

특히 티빙은 전체 임직원 265명 중 개발 인력이 149명에 달했으나 사내 정보보호 전담 인력은 외주(약 5명)를 제외하면 4명 안팎에 불과했다는 지적이 제기됐다. 사고 발생 후 최고정보보호책임자(CISO) 보고까지 14시간이 걸렸고, 법정 신고 기한(인지 후 24시간 이내)을 5시간 넘겨 신고해 과기정통부로부터 최대 3000만원의 과태료 처분을 받게 됐다.

티빙 관계자는 “실무진 인지(오전 10시) 후 경영진 보고 및 TF 구성(오후 3시) 과정에서 내부 전파가 미흡해 약 5시간의 갭이 발생했던 점을 인정하며 이를 대응하기 위해 거버넌스를 개편해 대비하겠다”고 밝혔다.

업계 일각에서는 티빙이 제시한 자사 포인트와 시청 환경 업그레이드 보상안에 대해 이미 서비스를 탈퇴했거나 장기 휴면 상태인 비활성화 계정(1737만개) 피해자에게는 실효성이 낮아 ‘보상의 사각지대’를 낳고 있다는 지적도 이어지고 있다.

이에 티빙 관계자는 “티빙 포인트의 경우 구독 여부와 무관하게 지급된다”며 “보상안을 마련하는 과정에서 고객들이 더 안심할 수 있는 서비스를 제공할 수 있도록 고려했다”고 말했다.

한편, 티빙은 웨이브와의 합병을 추진 중인 가운데, 합병 논의는 보안 이슈와 별개로 계속 진행되고 있다고 밝혔다. KT와 네이버 등 주주·사업 관계자에게는 사고 발생 직후 알리고 영향 여부 등을 공유한 상태다.

[CEO스코어데일리 / 진채연 기자 / cyeon1019@ceoscore.co.kr]