국내 대표 OTT 티빙이 팬들의 가슴을 쓸어내리게 할 충격적인 소식을 전했다. 과학기술정보통신부 민관합동조사단 발표에 따르면, 티빙에서 활성, 휴면, 탈퇴, 테스트 계정을 아울러 총 3,954만 개(중복 포함)에 달하는 계정이 유출된 것으로 확인됐다. 로그인 가능한 활성 계정만도 2,206만 개에 이르며, 최주희 티빙 대표이사 등 임원진은 고개를 숙여 사과했다.
유출된 3,954만 개 계정은 국내 OTT 이용자 수를 감안할 때 그 규모에 '와' 소리가 절로 나오는 수준이다. 한 사람이 최대 13개의 계정을 보유했던 사례까지 발견되며 문제의 심각성을 더했다. 단순한 숫자를 넘어 소중한 팬들의 개인정보가 무방비로 노출된 참담한 현실에 K-콘텐츠 팬덤은 깊은 실망감을 감추지 못하고 있다.
이번 사태의 원인은 총체적인 보안 부실에 있었다. 개발 및 운영 환경 접속키를 소스코드에 평문으로 노출하고, 모든 개발자에게 전체 프로젝트 접근 권한을 부여하는 등 기본적인 통제 장치조차 부재했다. 더욱 충격적인 사실은 2024년 모의해킹을 통해 접속키 노출 취약점이 이미 발견됐음에도 불구하고, 무려 2년간 방치했다는 점이다. 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장은 「인적체계, 보고체계 모두 문제가 있었다」고 강하게 비판했다.
이상 징후에 대한 늑장 대응도 도마 위에 올랐다. CPU 부하 등 단순 모니터링에 의존하던 티빙은 이상 징후 발생 후 정보보호 전담 조직 및 최고책임자에게 공유되기까지 약 14시간이 소요됐다. 법정 시한인 24시간을 넘겨 6월 1일 오후 3시 8분에 KISA에 침해 사고를 신고하는 등 초동 대응에 심각한 실패를 드러냈다. 임직원 265명 중 정보보호 전담 인력은 단 4명 내외에 불과했으며, 시스템 접속 기록은 선별 관리되고 일부는 6일만 보관되는 등 관리 부실도 심각했다.
유출된 개인정보 항목은 아이디, 이름, 휴대전화번호, 이메일, 생년월일, CI 등 20개 항목 70개 유형으로 광범위했다. 과기정통부는 정보통신망법에 따라 3천만 원 이하의 과태료를 부과할 예정이며, 재발 방지 대책 이행 점검 및 시정 조치 명령을 내릴 계획이다.
최주희 대표는 이번 사태에 대해 「내부 대응 체계가 미흡했다」고 인정하며 팬들에게 사과했다. 이어 보안 투자 확대 및 재발 방지를 위한 전사적인 노력을 약속했다. 임정규 과기정통부 정보보호네트워크정책관은 「유사 사례가 발생하지 않도록 철저한 관리 감독을 지속하겠다」고 밝혔다.
이번 티빙 개인정보 유출 사태는 특정 개발자나 단일 취약점을 넘어 개발 환경부터 접근 권한 관리, 모니터링, 보고, 취약점 개선에 이르기까지 정보보호 관리체계 전반의 총체적 부실이 빚어낸 결과임을 시사한다. 과기정통부의 재발 방지 대책 이행 점검과 시정 조치 명령이 예정된 가운데, 티빙이 얼마나 실질적인 보안 강화 노력을 기울일지 주목된다. 이번 사건이 다른 K-OTT 플랫폼들에게도 강력한 경각심을 일깨우는 중요한 계기가 되어야 할 것이다.
