오늘(3일) 정부 발표로 드러난 티빙의 해킹 사태는 그야말로 충격적이다. 무려 3,954만 개에 달하는 '모든' 이용자 계정 정보가 유출된 것은 물론, 핵심 기술자산까지 해외로 빠져나간 것으로 확인되며 국내 OTT 보안의 민낯이 드러났다.
과학기술정보통신부 민관합동조사단(임정규 정보보호네트워크정책관)은 3일 정부서울청사 브리핑에서 티빙의 역대급 정보 유출 사태를 발표했다. 무려 3,954만 개(활성화 2,206만, 비활성화 1,737만, 테스트 11만)에 달하는 이용자 계정이 털렸으며, 아이디(CJ ONE 포함), 비밀번호, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종의 민감 정보가 유출됐다. 특히 임정규 정책관은 「티빙의 모든 계정이 유출됐다」고 직접 인정하며, 암호화 키 유출로 인해 휴대전화번호와 이메일 주소가 「사실상 평문 유출」되어 개인정보 도용 위험이 매우 심각하다고 경고했다. 여기에 핵심 기술 자산 361건(30.35GB), 즉 소스코드마저 해외로 빠져나간 충격적인 상황이다.
공격자들은 지난 5월 29일부터 31일 사이 개발자 '개발환경 접속키'를 탈취, 개발환경 침투 후 소스코드 내 '운영환경 접속키' 43개를 추가 확보해 아마존웹서비스(AWS) 운영환경까지 장악했다. 5월 31일, 무려 24GB에 달하는 이용자 정보를 외부 서버로 유출하는 치밀함을 보였다. 이번 사태는 티빙의 총체적 보안 불감증이 키웠다는 지적이다. 티빙은 키 관리체계 총체적 부실(하드코딩, 평문 저장), 전체 임직원 265명 중 「정보보호 전담인력이 4명 내외에 불과」한 현실, 심지어 「2024년 모의해킹에서 취약점이 발견됐음에도 개선 조치가 이뤄지지 않았다」는 사실이 드러나 팬들의 공분을 사고 있다.
정부는 티빙이 침해사고 인지 시점(5월 31일 오전 10시 10분)보다 24시간을 넘긴 6월 1일 오후 3시 8분에 신고한 점을 들어 최대 3천만 원의 과태료를 부과할 예정이다. 강력한 재발 방지 대책을 주문했으며 내년 1월 이행점검을 예고했다. 하지만 아쉬운 점은 오는 9월 11일과 10월 1일에 각각 시행될 개정 개인정보보호법과 정보통신망법이 이번 침해사고에 소급 적용되지 않아, 매출액의 최대 10%까지 부과될 수 있는 「징벌적 과징금은 적용되지 않는다」는 사실이다.
이번 티빙 정보 유출 사태는 단순히 한 기업의 보안 사고를 넘어, 우리 사회 전반의 디지털 보안 불감증에 대한 경종을 울리고 있다. 티빙은 철저한 재발 방지 이행과 피해 이용자 보호에 총력을 기울여야 할 것이다. 정부와 국회는 이번 사례를 거울삼아 유사 사고 발생 시 기업에 더 강력한 책임을 물을 수 있는 제도적 보완책 마련에 속도를 내야 한다. K-콘텐츠를 사랑하는 팬들의 개인정보는 물론, 미래 경쟁력인 기술 자산 보호에 대한 심각한 고민이 필요한 시점이다.
