국민 5명 중 2명 털렸다…역대급 규모의 개인정보 유출
OTT 플랫폼 티빙에서 발생한 개인정보 유출 사고의 피해 규모가 최종적으로 1,953만 명으로 집계되었습니다. 이는 국내 개인정보 유출 사고 역사상 쿠팡과 SK텔레콤에 이어 세 번째로 큰 규모인데요. 티빙의 유료 회원이 약 500만 명, 월간 활성 이용자가 770만 명 수준인 것을 감안하면 실제 서비스 이용자를 훨씬 벗어나는 막대한 수치입니다.
유출된 항목 역시 심각합니다. 이름과 생년월일, 아이디, 비밀번호, 휴대폰 번호, 환불 계좌뿐만 아니라 연계정보(CI)와 중복가입확인정보(DI)까지 포함되었는데요. 특히 한 번 생성되면 절대 바꿀 수 없는 CI와 DI가 유출되었다는 점이 이번 사태를 더욱 위험하게 만드는 핵심입니다.
바뀌지 않는 '디지털 주민등록번호'가 문제입니다
CI와 DI는 이른바 '디지털 주민등록번호'로 불리는 고유 식별값입니다. 주민등록번호 대신 온라인상에서 본인임을 증명하는 용도로 쓰이지만, 타인에게 노출된 뒤에는 평생 회복하기 어렵다는 치명적인 특징이 있습니다. 당연히 이 정보가 다른 개인정보와 결합될 경우 명의도용이나 금융사기, 정교한 타깃형 스미싱 등 2차 범죄에 악용될 가능성이 매우 큽니다.
사실 국가정보원의 분석 결과, 이번에 유출된 CI값을 이용하면 비밀번호 찾기 기능을 통해 본인 확인 절차를 우회하고 타인의 계정을 무단으로 탈취할 수 있는 취약점이 확인되었습니다. 이는 CI를 단순한 '식별' 수단이 아닌 '인증' 수단으로 잘못 사용할 때 발생하는 구조적 허술함을 보여주는 겁니다. 이에 국정원은 경찰청 등 공공기관을 상대로 CI값을 활용한 본인인증 기능을 임시 중단하고, 동일 IP에서 다수의 CI값으로 인증을 시도하는 행위를 모니터링해 차단할 것을 긴급 권고했습니다.
보안 투자는 줄이고, 피해 규모는 커졌습니다
이번 사고가 단순한 해킹이 아니라 관리 체계의 허술함에서 비롯되었다는 지적도 거세게 나오고 있습니다. 한국인터넷진흥원 정보보호공시에 따르면 티빙의 정보보호 투자액은 2022년 약 22억 원에서 2024년 약 17억 6천만 원으로 2년 연속 감소했습니다. 또한 최고정보보호책임자(CISO)와 개인정보보호책임자(CPO)를 비임원급 인사가 겸직하고 있었다는 점도 업계에서는 이례적인 운영으로 꼽히고 있는데요.
유출 규모가 실제 이용자 수를 웃돈다는 점에서, 티빙이 탈퇴 회원이나 휴면 계정의 정보를 개인정보보호법이 정한 시점에 제대로 파기하지 않았을 가능성도 정부의 주요 조사 대상이 되었습니다. 반대로 피해 보상 측면에서는 현실적인 한계가 드러나고 있습니다. 티빙이 가입한 보험의 보장 한도가 고작 11억 원에 불과해, 1,900만 명이 넘는 피해자들에게 실질적인 보상을 하기엔 턱없이 부족하다는 우려가 제기되고 있습니다.
물론 피해 이용자들은 소극적 대응을 하지 않고 있습니다. 현재까지 9만 명 이상이 법무법인 지향을 통해 집단 손해배상 소송에 참여 의사를 밝혔고, 1인당 30만 원의 청구액을 요구하고 있습니다. 이번 사태를 기업의 안일한 태도가 부른 명백한 인재로 규정하는 목소리가 커지면서, 정부의 강력한 제도적 보완책 마련이 시급한 과제로 떠오르고 있습니다.