티빙, 3954만개 계정 유출…매출 26배 성장, 보안투자·전문인력 ‘제자리’
2030년까지 보안 투자 4배·인력 3배 확충… “후속대책 보다 ‘실행의 질’ 중요”
“일회성 투자 확대 넘어, 보안 관리 체계 재정립 시급”

티빙이 대규모 개인정보 유출 사태 이후 보안 투자 확대와 피해 보상안을 발표하며 수습에 나서고 있다. 그러나 정보보안 관리 부실, 해킹 사태 이후 위기관리 능력 부족, 형식적인 피해자 구제안 등이 도마위에 오르면서, 신뢰 회복을 위해 넘어설 과제가 산적해 있다. 티빙 해킹 사태를 둘러싼 플랫폼 업계의 구조적 문제점을 짚어보고, 정보보안 관리체계 정비 및 실질적인 보상안 등을 제시하고자 한다. <편집자주>

티빙의 대규모 개인정보 유출 사태는 사실상 전 국민이 이용하는 플랫폼 기업이 정보보호 체계를 등한시할 경우, 얼마나 위험한 결과를 초래하는지 단적으로 보여주는 사례가 됐다. 특히 티빙이 국내 대표적인 OTT(온라인 동영상 서비스) 플랫폼으로 자리매김 하면서 매출액이 5년간 26배 이상 늘었지만, 정보보호 투자와 전담 인력은 이에 턱없이 부족하다는 사실이 공개되면서, 국민적인 공분을 사기에 충분했다. 해킹 사태의 원인을 정보보안 마인드 부재 및 투자부족으로 치부하기는 어렵지만, 전 국민이 이용하는 서비스 플랫폼의 경우, 사전에 보다 철저한 보안 관리 체계 정립이 절실하다는 점을 일깨웠다.

과학기술정보통신부 민관합동조사단에 따르면 이번 사고로 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개(중복 포함)의 계정 정보가 유출된 것으로 나타났다. 티빙이 개인정보보호위원회에 신고한 실제 정보유출 피해자 수만 해도 약 1953만명에 달한다. 사실상 전 국민의 절반 가까이 해커들의 먹잇감이 된 것이다.

정부나 업계에서는 티빙과 같은 전 국민적인 서비스 플랫폼이 왜 사업규모에 맞게 제대로 된 정보보안 관리 체계를 확립하지 못했느냐에 화살을 집중하고 있다.

전자공시시스템(DART)에 따르면 티빙의 매출은 2020년 155억원에서 2025년 4068억원으로 5년 만에 26.2배나 급증했다. 반면 한국인터넷진흥원(KISA) 정보보호 공시 기준 티빙의 정보보호 투자액은 2020년 1억5357만원에서 2022년 21억9667만원까지 늘었다. 이어  2023년 18억3940만원, 2024년 17억6510만원으로 2년 연속 감소세를 보였다. 특히 지난해에는 24억7920만원으로 다소 회복했지만, 여전히 연 20억원 안팎의 수준에 머물렀다. 매출이 급격히 늘어나는 동안 보안투자액이 안정적으로 늘지 않았다는 점은 성장 단계별 보안 역량 확보 계획이 충분하지 않았다는 평가다.

전담 인력 부족은 더 심각하다. 지난해 기준 티빙의 정보보호 전담 인력은 내부 4.8명, 외부 4.6명 등 총 9.4명이었으며, 실질적인 내부 인력은 4명 안팎인 것으로 파악됐다. 수천만 이용자의 계정 정보를 다루는 내부 보안 인력이 이처럼 부족하면서, 침해 탐지, 취약점 조치, 권한 관리 등 일상적인 보안관리에 큰 부담이 따를 수 밖에 없다.

이를 동종 플랫폼 업계와 비교해 보면 취약성은 더 두드러진다. 지난해 주요 기업의 정보보호 공시에 따르면, 네이버는 보안 인력 154명을 두고 정보보호에 660억원을 투자했고, 카카오는 92.2명에 340억원을 집행했다. 특히 티빙보다 덩치가 더 작은 당근마켓마저도 보안 인력 9.4명을 배치하고 정보보호에 61억원을 투자했다. 기업마다 사업규모와 특성이 달라, 단순 비교할 수 없지만, 연 매출액 4000억원대, 계정 4000만개에 육박하는 기업의 정보보안 투자가 연 20억원 안팎에 그친 점은 몸집에 비해 보안 투자에  너무 소극적이었다는 비판을 피하기 어려워 보인다.

특히 이번 해킹 사고에서 정보보안 투자 보다 더 주목해서 볼 부분이 위험관리 체계의 작동 여부다. 

조사단은 티빙이 2024년 모의해킹에서 개발·운영환경 접속키가 소스코드에 노출된 ‘하드코딩’ 취약점을 발견하고도 개선하지 않았다고 지적했다. 또한 모든 개발자에 전체 프로젝트 접근 권한이 부여된 점, 그리고 이상 징후를 실시간으로 탐지·차단하는 체계가 부족한 것도 문제라고 봤다. 

사고 인지 이후 보고 과정도 늦었다. 티빙은 지난 5월 30일 데이터베이스 서버 과부하 현상을 발견했고, 5월 31일 오전 10시 10분 정보보안팀에 상황을 전파했다. 그러나 전담기관인 KISA에는 24시간이 지난 6월 1일 오후 3시 8분에서야 침해사고를 신고했다. 이처럼 사고 인지 이후 보고체계도 허점이 드러남에 따라, 과기정통부는 정보통신망법 위반에 따라 최대 3000만원의 과태료를 부과할 예정이다.

티빙은 해킹 사태 이후, 오는 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 확대하고, 보안 전문인력을 현재의 3배 수준인 25~30명으로 늘리겠다고 쇄신안을 발표했다. 보안 조직도 프로덕트·클라우드·전사 IT·컴플라이언스 보안으로 세분화하고, 제로 트러스트 기반의 접근 통제 체계를 도입하겠다는 계획이다.

또한 투자 규모도 연 30억원에서 2030년 100억~120억원까지 단계적으로 늘린다고 가정하면, 향후 5년간 투자액은 약 325억~375억원으로 직전 5년의 3.4~3.9배에 달한다. 

다만, 정부나 업계에서는 티빙이 제시한 후속 대책의 규모보다 더 중요한 것은 ‘실행의 질’이라고 입을 모으고 있다. 

우선, 취약점이 발견됐을 때 조치 기한과 책임자를 명확히 하는 내부 관리 체계가 먼저 필요하다는 지적이다. 모의해킹이나 보안 점검에서 발견된 위험을 단순히 기록에 남기는 데 그치지 않고, 조치 여부를 경영진이 정기적으로 확인해야 한다는 것이다.

접근 권한 관리와 침해 대응 체계도 함께 개선돼야 한다. 개발자별로 접근 권한을 최소화하고, 중요 데이터에 접근할 경우, 이를 실시간으로 모니터링 해야 한다. 또한 침해 징후가 발생했을 때 단순 시스템 장애와 보안 사고를 구분해 판단할 수 있는 전문 인력과 대응 매뉴얼도 갖춰야 한다.

최주희 티빙 대표는 “이번 사고를 뼈아프게 반성하고 보안 체계 전반을 근본부터 다시 세우겠다”며 “정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고, 고객 신뢰 회복에 최선을 다하겠다”고 말했다.

[CEO스코어데일리 / 진채연 기자 / cyeon1019@ceoscore.co.kr]