[비즈니스포스트] 최주희 티빙 대표이사가 개인정보 유출 사태 이후 3개월이 지나 직접 고개를 숙이고 사과했다.

최 대표는 정보 보호 투자와 보안 인력 확대 등 사이버 침해 사고와 관련한 구체적 정보보안 강화 방안을 제시하며 고객 신뢰 회복에 나섰다. 고객들에게 2만 원 상당의 보상 패키지도 함께 제공한다.

최 대표는 3일 오후 4시 서울 중구 코리아나호텔에서 '사이버 침해 사고 정보보안 강화 및 고객 보상 설명회'를 열고 "민관합동조사단의 조사결과를 겸허히 수용하며 이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"고 말했다.

그는 "사고 이후 조사에 성실히 협조하며 긴급 보안 조치를 시행하고 고객 보호에 힘써왔다"며 "고객의 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다"고 덧붙였다.

이날 발표된 과학기술정보통신부가 발표한 민관합동조사단 조사 결과에 따르면 티빙은 2024년 진행된 모의 해킹에서 발견된 취약점을 조치하지 않은 것으로 지적받았다.

조성대 티빙 최고기술책임자(CTO)는 "2024·2025년에 보안 강화를 진행하고 있었다"면서도 "서비스가 성장하고 변화하는 과정에서 일관성 있게 보안 규칙을 적용하지 못했다"고 설명했다.

최 대표는 "이번 사고를 뼈아프게 반성하고 보안 체계 전반을 근본부터 다시 세우겠다"며 "정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고, 고객 신뢰 회복에 최선을 다하겠다"고 밝혔다.

이번 설명회에서는 조사 결과에 따른 조치 사항과 중장기 정보보호 혁신 방안, 고객 보상 계획이 공개됐다.

티빙은 정보가 유출된 모든 고객에게 2만 원 상당의 보상 패키지를 제공한다고 설명했다. 보상 패키지는 △해킹·피싱 안심 보험 △프리미엄급 시청 환경 업그레이드 △티빙 포인트 △엔터테인먼트 쿠폰으로 구성된다.

안심 보험은 1년 동안 제공된다. 해킹·피싱에서 비롯된 사이버 금융사기와 인터넷 쇼핑몰 사기, 개인 사이 직거래 사기까지 1인당 최대 300만 원을 보상한다.

5천 원 상당의 티빙 포인트와 엔터테인먼트 쿠폰도 지급한다. 엔터테인먼트 쿠폰으로는 웨이브 광고 기반 주문형 비디오(AVOD) 1개월 또는 CJCGV 콤보 3종 5천 원 할인 쿠폰 가운데 하나를 선택할 수 있다. 프리미엄급 시청 환경 업그레이드는 별도 신청 없이 적용된다고 티빙은 설명했다.

보상 패키지는 티빙 공식 앱과 홈페이지를 통해 7일부터 30일까지 신청을 받아 10월6일부터 적용된다.

장현경 티빙 사업관리본부장은 "티빙을 보시면서 좋은 시청 환경에서 가장 좋은 서비스를 누렸으면 좋겠다고 생각했다"며 "피싱 안심 보험이 피해 보상과 직결되지 않는다 하더라도 고객이 조금 더 안심할 수 있는 데엔 기여할 수 있다고 본다"고 말했다.

티빙은 고객 보상 이외에도 보안 체계를 전면 재확립한다. 티빙은 △정보 보호 투자·보안 인력 확대 △제로 트러스트 기반 보안 체계 재구축 △조직 거버넌스 및 보안 문화 재정립 △외부 협력 통한 전문성 강화를 들었다.

2030년까지 정보 보호 투자를 직전 5년 대비 약 4배로 확대하기로 했다. 보안 조직을 세분화하고 전문 인력도 5년 동안 현재의 3배로 확충한다.

보안 기본 원칙도 제로 트러스트 기반으로 재구축한다. 제로 트러스트는 "절대 신뢰하지 않고 항상 검증한다"는 뜻의 사이버 보안 패러다임이다. 인증과 접근 통제 방식을 단계별로 매번 검증하게 된다.

내부에서는 최고경영자(CEO)를 중심으로 한 실무 보안협의체를 신설한다. 외부 보안 전문가로 구성한 '정보보호혁신 자문위원회'도 발족한다.
 
티빙은 5월31일 오전 10시10분 개인정보 유출 사고를 인지했다. 한국인터넷진흥원(KISA)에 유출 사실을 신고한 때는 6월1일 오후 3시8분이다.

인지 시점에서 24시간이 지난 뒤 신고하면 정보통신망법 위반으로 최대 3천만 원의 과태료를 부과받을 수 있다.

최 대표는 신고가 늦어진 이유를 두고 "실무진이 인지한 사실을 경영진이 보고받아 태스크포스(TF)를 발동한 시점이 오후 3시였다"며 "내부에서 이슈가 발생했을 때 전파되는 속도가 미흡했는데 빠르게 전파하고 대비할 수 있는 거버넌스를 수립할 예정"이라고 설명했다.

과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하면서 소스코드가 포함된 기술자산 361건과 이용자 계정 약 3954만 개가 유출됐다고 밝혔다.

유출 항목은 아이디와 이름, 생년월일, 전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 암호화된 상태로 유출돼 원문을 알 수 없지만 전화번호와 이메일 주소는 암호화키가 함께 유출됐다.

개인정보보호법에 따르면 대규모 정보 유출 과징금은 전체 매출의 최대 3%다. 티빙은 2025년 매출 4059억8천만 원을 기록해 최대 과징금은 121억8천만 원까지 부과될 수 있다.

다만 계속되는 개인정보 유출 사태를 두고 기업에 모든 책임을 묻는 과징금 방식에는 한계가 있다는 지적도 나온다. 개인정보 보호를 위한 국가적·사회적 지원과 연구가 필요하다는 것이다.

임종인 고려대학교 정보보호대학원 교수는 비즈니스포스트와 통화에서 "과징금 액수만 높인다고 개인정보 보호 수준이 강해진다는 인식에는 회의적"이라며 "뚫렸냐, 안 뚫렸냐가 문제가 아니라 글로벌 수준의 사이버 안전성을 확보하도록 우리 사회가 지원해야 한다"고 말했다.

임 교수는 "우리나라 사업 환경이 미국과 굉장히 유사한데 유럽연합(EU)식 천문학적 과징금을 물리고 있다"며 "미국의 규제 환경이나 정보보호 정책을 벤치마킹해서 사이버 보안 수준을 본질적으로 높일 수 있는 방안을 논의해야 한다"고 덧붙였다. 전주원 기자