[뉴스스페이스=김희선 기자] CJ ENM 산하 온라인동영상서비스(OTT) 티빙이 약 1,953만명의 개인정보 유출 사고가 불거진 지 약 3개월 만인 3일 공식 사과와 고객 보상안을 내놓는다. 단순한 해킹 사고 사과를 넘어, 현 이용자 수를 크게 웃도는 유출 규모의 산정 근거와 탈퇴·휴면 회원 정보를 포함한 데이터 관리 책임, 실질적 피해 구제 방식을 어디까지 구체화할지가 이번 설명회의 핵심 쟁점이다.
티빙은 이날 오후 4시 서울 중구 한 호텔에서 ‘사이버 침해 사고 관련 공식 사과 및 설명회’를 열고, 최주희 대표이사와 주요 경영진이 참석한 가운데 사고에 대한 회사 입장, 정보보안 강화 대책, 피해 고객 보상 방안을 발표할 예정이다. 경영진이 직접 참석하는 대외 설명회는 지난 6월 개인정보 유출 사실이 알려진 뒤 처음이다.
이번 사고는 피해자 수와 유출 정보의 성격에서 국내 OTT 업계의 보안·개인정보 관리 체계를 시험하는 사건으로 평가된다. 티빙은 지난 5월 30일 데이터베이스(DB) 서버에서 이상 징후를 감지했고, 6월 2일 비인가 접근 및 정보 유출 정황을 확인한 뒤 6월 3일 공식 공지했다. 회사 설명과 정부·언론 보도를 종합하면 유출 항목에는 아이디, 이름, 생년월일, 성별, 휴대전화 번호, 이메일 주소, 비밀번호, 환불 계좌번호뿐 아니라 연계정보(CI)와 중복가입확인정보(DI)도 포함됐다.
CI와 DI는 여러 온라인 서비스에서 본인확인과 가입 중복 방지에 활용되는 식별정보다. 유출된 정보가 이름·연락처·생년월일 등과 결합될 경우 스미싱, 피싱, 계정 탈취, 명의도용 등 2차 피해 가능성이 커질 수 있다는 것이 이용자와 전문가들이 우려하는 지점이다. 특히 CI·DI는 일반 비밀번호처럼 이용자가 즉시 변경하기 어려운 정보라는 점에서, 이번 사고의 위험성은 단순한 계정정보 노출보다 크다는 평가가 나온다.
‘1,953만명’의 미스터리
피해 추정 규모는 정부 초기 잠정치인 약 1,300만명에서 1,953만명으로 650만명 이상 늘었다. 이정헌 더불어민주당 의원실이 개인정보보호위원회와 과학기술정보통신부에서 제출받은 자료를 인용해 공개한 수치다. 1,953만명은 단순 가입자 유출 사고로 보기 어려운 규모다.
외신 및 업계 보도에 따르면 티빙의 유료 가입자는 약 500만명, 월간활성이용자(MAU)는 1,000만명에 못 미치는 수준으로 거론된다. 유출 추정 인원이 유료 가입자의 약 3.9배에 이르는 만큼, 정부 조사에서는 이 수치가 실사용자 기준인지 계정 기준인지, 복수 가입 경로의 계정이 중복 집계됐는지, 탈퇴·장기 미이용 회원과 제휴 채널 이용자 정보가 포함됐는지가 핵심 검증 대상이 될 전망이다.
특히 네이버·카카오 간편가입, 이동통신사 결합상품 등 제휴 경로를 통해 축적된 고객 데이터와 탈퇴 회원의 정보가 DB에 어느 범위까지 남아 있었는지가 쟁점이다. 개인정보 처리 목적이 종료된 뒤에도 법적 보존 근거 없이 데이터가 장기간 보관됐다면, 해킹 자체와 별개로 개인정보보호법상 파기·보유 관리 의무 위반 여부가 문제될 수 있다. 다만 탈퇴 회원 정보의 실제 포함 여부와 중복 계정 여부는 아직 정부의 최종 조사 결과로 확정되지 않았다는 점에서 단정하기 어렵다.
보상안의 관건은 ‘금액’보다 범위
시장에서는 티빙이 약 1만원 수준의 이용권 또는 쿠폰을 제시할 가능성이 거론돼 왔다. 그러나 이는 공식 확정안이 아니라 발표 전 업계 관측에 불과하다. 티빙이 이날 어떤 보상 수단과 지급 기준을 실제로 확정할지는 설명회 발표를 통해 확인해야 한다.
정부 제재도 별도로 진행 중이다. 과학기술정보통신부 민관합동조사단은 해킹 침입 경로와 피해 규모, 기술적 원인을 조사했으며, 개인정보보호위원회는 티빙이 개인정보보호법상 안전조치 의무와 유출 통지·신고 의무를 지켰는지 별도로 들여다보고 있다. 정부 조사 결과에서 보안 취약점, 접근 통제 부실, 대량 데이터 반출 탐지 실패, 불필요한 개인정보 보관 등이 확인될 경우 행정 제재와 민사소송의 핵심 근거가 될 수 있다.
현행 법 체계가 적용될 경우 티빙에 부과할 수 있는 과징금 상한은 매출 연동 방식으로 산정된다. 티빙의 2025년 매출 4,059억8,000만원에 현행 상한인 3%를 단순 적용하면 약 121억8,000만원이다. 다만 이는 법 위반이 인정되고 관련 매출 산정 등 일정한 전제가 충족된다는 가정에 따른 상한 계산일 뿐이며, 실제 과징금은 위반 정도, 기간, 안전조치 노력 등을 반영해 달라질 수 있다.
오는 9월 11일부터는 고의 또는 중대한 과실로 1,000만명 이상에게 피해를 준 경우 등에 대해 과징금 상한을 매출의 최대 10%까지 높이는 개인정보보호법 개정 규정이 시행된다. 다만 티빙 사고에 새 규정이 적용될지는 위반행위가 언제 종료됐는지, 위법한 개인정보 보유·처리 또는 보안 취약 상태가 시행일 이후까지 계속됐는지 등에 따라 달라질 수 있어 현 단계에서 확정하기 어렵다.
무엇보다 행정 과징금은 피해자에게 직접 지급되는 돈이 아니다. 과징금은 국고에 귀속되며, 개별 이용자의 금전적 손해 구제는 별도의 손해배상 청구나 분쟁조정, 회사의 자율 보상으로 해결해야 한다. 법무법인 지향은 지난 6월 티빙 이용자 10만4,522명을 대리해 손해배상 청구 소송을 제기한 것으로 보도됐다. 이는 특정 소송 참여자만 판결 효력을 받는 공동소송으로, 미국식 집단소송처럼 모든 피해자에게 자동으로 배상 효력이 미치는 구조는 아니다.
사과의 완성은 ‘검증 가능한 약속’
최주희 대표는 지난 6월 “이용자 여러분께서 믿고 맡겨주신 정보를 지켜드리지 못했으며, 그 책임은 전적으로 티빙에 있다”며 피해 구제와 이용자 보호를 위해 끝까지 책임을 다하겠다고 밝힌 바 있다. 3일 설명회는 이 약속을 구체적인 보상 액수와 대상 기준, 이행 일정, 보안 투자 계획, 독립적 사후 검증 체계로 전환할 수 있는지 가르는 자리다.
티빙 사태의 본질은 단순히 “약 2,000만명”이라는 숫자의 충격에 있지 않다. 현재 이용자를 훨씬 웃도는 개인정보가 왜 DB에 남아 있었는지, 대규모 접근과 반출을 왜 더 빨리 차단하지 못했는지, 침해 이후 고객에게 어떤 방식으로 회복 가능한 선택권을 줄 것인지가 더 본질적인 질문이다. 이번 보상안이 쿠폰 지급에 그친다면 사과의 진정성 논란은 이어질 수 있다. 반대로 탈퇴 회원까지 포괄하는 보상, 2차 피해 대응, 독립 보안 검증, 결과 공개를 결합한다면 티빙은 신뢰 회복의 최소한의 출발선을 만들 수 있다.
