[이코노미스트 이혜리 기자] 온라인동영상서비스(OTT) 티빙이 3954만개 계정의 개인정보가 유출된 침해 사고와 관련해 공식 사과했다. 2024년 모의해킹에서 발견한 보안 취약점을 제대로 조치하지 않았고 보안 전담 인력도 외주를 제외하면 4명에 불과했던 것으로 조사됐다. 티빙은 2030년까지 정보보호 투자를 직전 5년 대비 4배로 늘리고 피해 고객을 대상으로 최대 300만원을 보상하는 보험을 제공하기로 했다.

최주희 티빙 대표는 3일 서울 중구 코리아나호텔에서 열린 사이버 침해사고 설명회에서 “민관합동조사단의 조사 결과를 겸허히 수용하며 이번 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 고개를 숙였다.

과학기술정보통신부 민관합동조사단이 이날 발표한 최종 조사 결과에 따르면 유출된 계정은 활성화 계정 2206만개, 비활성화 계정 1737만개, 테스트 계정 11만개 등 총 3954만개다. 한 사람이 최대 13개 계정을 보유한 사례 등이 포함돼 실제 피해 인원과는 차이가 있다. 티빙이 개인정보보호위원회에 신고한 유출 규모는 1953만명으로, 정확한 개인정보 유출 인원은 개인정보위가 추가 확인할 예정이다.

개인정보뿐 아니라 티빙의 기술자산도 빠져나갔다. 서비스 개발에 사용되는 소스코드가 포함된 개발 프로젝트 361건, 총 30.35GB 규모다.

조사 과정에서는 티빙의 보안 관리 문제도 확인됐다. 티빙은 2024년 모의해킹 과정에서 개발·운영환경 접속키가 소스코드에 노출된 취약점을 발견했지만 이를 제대로 개선하지 않았다. 모든 개발자에게 직무와 관계없이 전체 프로젝트 접근 권한을 부여했던 사실도 드러났다. 외주 인력을 제외한 보안 전담 인력은 4명에 그쳤다.

티빙은 보안 투자와 인력을 확대하기로 했다. 2030년까지 정보보호 투자액을 직전 5년 대비 약 4배로 늘리고 향후 5년간 보안 전문인력을 현재의 3배 수준으로 확충한다. 보안 조직도 프로덕트·클라우드·전사 IT·컴플라이언스 등으로 세분화한다.

접근 권한 관리에는 ‘제로 트러스트’ 원칙을 도입한다. 직무와 목적에 따라 필요한 범위에서만 접근 권한을 부여하고 인증과 접근 통제 단계마다 검증하는 방식이다. 시스템과 네트워크 영역을 분리하고 인공지능(AI)을 활용한 위험 탐지와 실시간 차단 체계도 강화한다.

CEO 직속 ‘정보보호혁신 자문위원회’도 신설한다. CEO와 정보보호최고책임자(CISO), 개인정보보호책임자(CPO)를 중심으로 실무 보안협의체를 구성하고 외부 전문가의 점검도 받기로 했다.

개인정보 유출 고객에게는 별도의 보상 패키지를 제공한다. 해킹이나 피싱에 따른 사이버 금융사기와 인터넷 쇼핑몰·개인 간 직거래 사기 등에 대해 1년간 1인당 최대 300만원을 보상하는 안심보험을 운영한다.

최신 영화 등의 구매에 사용할 수 있는 5000원 상당의 티빙 포인트도 지급한다. 웨이브 광고형 요금제(AVOD) 1개월 이용권과 CGV 콤보 3종 5000원 할인 쿠폰 가운데 하나를 선택할 수 있다. 프리미엄급 시청 환경 업그레이드도 제공한다. 보상 신청은 오는 7일부터 30일까지 받으며 10월 6일부터 적용된다.

최 대표는 “이번 사고를 뼈아프게 반성하고 보안 체계 전반을 근본부터 다시 세우겠다”며 “정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고 고객 신뢰 회복에 최선을 다하겠다”고 말했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지