티빙 2000만 건 유출, 3개월 만의 보상안…쟁점은 간편로그인

3개월 만에 나오는 보상안

국내 OTT 플랫폼 티빙이 9월 3일 서울 중구의 한 호텔에서 '사이버 침해 사고 관련 공식 사과 및 설명회'를 연다. 사고 발생으로부터 약 3개월 만에 처음으로 경영진이 공식 석상에 서서 사과와 함께 이용자 보상 계획, 재발 방지 대책을 설명하는 자리다.

이번 사고에서 유출된 것으로 거론되는 개인정보는 약 2000만 건 규모다. 국내 OTT 시장에서 벌어진 침해 사고 중 가장 큰 축에 속하는 숫자이며, 단일 플랫폼 이용자 데이터라는 점에서 파장이 작지 않다.

왜 지금인가

발표 시점이 공교롭다. 티빙의 개인정보 유출에 대한 정부 조사 결과 발표가 임박한 상황이기 때문이다. 조사 결과가 공개되면 유출 경위와 관리 부실 여부, 과징금 규모까지 함께 드러난다. 기업 입장에서는 규제 당국의 판단이 나오기 전에 먼저 사과하고 보상안을 제시하는 편이, 처분 이후 떠밀리듯 대응하는 것보다 여론 관리 측면에서 유리하다고 판단했을 가능성이 있다.

동시에 3개월이라는 공백 자체가 논란거리다. 침해 사고 대응에서 초기 통지와 신속한 피해 구제는 신뢰 회복의 핵심 변수인데, 분기에 가까운 시간이 흐른 뒤에야 보상안이 나온다는 점은 이용자 불만을 키우는 요인이다.

핵심 쟁점: 가입자보다 많은 유출 건수

가장 주목되는 대목은 유출 건수가 티빙 가입자 수의 약 4배에 달한다는 점이다. 상식적으로 유출 건수는 가입자 수를 넘기 어렵다. 이 수치가 성립하려면 몇 가지 설명이 필요하다. 한 이용자에 대해 계정 정보, 결제 관련 정보, 시청 이력 등 여러 유형의 레코드가 각각 별건으로 집계됐거나, 탈퇴 후에도 파기되지 않고 남아 있던 과거 이용자 데이터까지 포함됐을 가능성이 거론된다.

어느 쪽이든 시사점은 분명하다. 전자라면 한 사람당 유출된 정보의 '깊이'가 예상보다 크다는 뜻이고, 후자라면 개인정보 보유·파기 관리에 구조적 문제가 있었다는 뜻이 된다. 정부 조사 결과에서 이 부분이 어떻게 정리되는지가 과징금 규모와 소송 국면 모두를 좌우할 수 있다.

SNS 간편로그인은 안전한가

또 하나의 쟁점은 SNS 계정으로 가입한 이용자들의 정보다. 카카오·네이버·구글·애플 등 소셜 로그인은 서비스마다 비밀번호를 따로 만들지 않아도 되고, 비밀번호가 서비스 서버에 저장되지 않는다는 점에서 일반적으로 보안상 유리하다고 평가돼 왔다.

다만 간편로그인이 만능은 아니다. 연동 과정에서 서비스 사업자는 이메일 주소, 프로필 정보, 고유 식별자 같은 항목을 전달받아 자체 데이터베이스에 저장한다. 즉 비밀번호는 안전해도 연동 정보는 그대로 유출 대상이 된다. 이번 사고에서 소셜 로그인 이용자의 정보가 어느 범위까지 포함됐는지는 티빙 설명회와 정부 조사 발표에서 확인해야 할 부분이다.

이용자 입장에서 달라지는 것

현실적으로 개별 이용자가 지금 할 수 있는 조치는 제한적이다. 티빙에 별도 비밀번호를 쓰고 있고 그 비밀번호를 다른 서비스에서도 재사용했다면 즉시 변경하는 것이 우선이다. 소셜 로그인 이용자라면 해당 플랫폼의 '연결된 서비스' 목록을 점검하고 쓰지 않는 연동을 해제하는 것이 실질적인 방어책이다. 유출된 이메일과 이름 조합은 이후 티빙 사칭 피싱 메일의 재료로 쓰이기 쉬우므로, 결제나 환불을 유도하는 링크는 특히 경계할 필요가 있다.

보상안의 실효성은 3일 발표 내용에서 판가름 난다. 통상 국내 기업의 유출 보상은 이용권 연장, 소액 쿠폰, 신용정보 보호 서비스 제공 같은 형태로 제시돼 왔는데, 이런 수준이 2000만 건 규모의 사고에 상응하는지에 대해서는 이용자와 시민단체의 평가가 갈릴 수 있다. 집단 소송 가능성까지 감안하면, 이번 설명회는 사과의 자리인 동시에 향후 법적 다툼의 출발선이기도 하다.