한 번 뚫리면 끝, 바꿀 수도 없다…티빙 해킹에 ‘온라인 주민번호’ 공포 확산

이름·생년월일·휴대폰 번호 등
‘주민번호 대체’ CI정보도 유출
다른 개인정보와 결합될 경우
‘표적 피싱’ 등 추가 피해 우려
티빙 “피해구제 등 끝까지 책임”

▲그래픽=신미영 기자 win8226@

CJ ENM의 온라인동영상서비스(OTT) 플랫폼인 티빙에서 이용자의 개인정보가 외부 비인가 접근으로 유출되는 초유의 해킹 사고가 발생했다. 지난해 역대 최악의 연쇄 해킹 사태가 지나간 이후 올해 들어 비교적 잠잠했던 국내 보안 생태계는 이번 티빙 사태로 인해 또다시 거센 비상등이 켜졌다. 정부는 이번 사건을 ‘중대한 침해사고’로 규정하고 민관합동조사단을 구성해 고강도 조사에 착수했다. 업계 안팎에서는 주민등록번호를 대체해 온 연계정보(CI)까지 유출된 것으로 알려지며 2차 피해 우려와 함께 제도적 개선을 요구하는 목소리가 번지고 있다.

4일 티빙에 따르면 이번 사태에서 유출된 개인정보 항목으로 아이디, 이름, 생년월일, 성별, CI, 중복가입확인정보(DI), 휴대폰 번호(마지막 4자리 암호화), 이메일(도메인 제외 암호화), 환불 계좌번호(암호화), 비밀번호(암호화)와 서비스 이용 관련 정보 등이 포함된다. 2일 개인정보 저장 데이터베이스(DB)에 신원 미상의 해커가 비인가 접근 및 파일 유출 정황을 확인했다는 게 티빙 측의 설명이다.

티빙 관계자는 이후 조치 사항에 대해 “인지 즉시 공격 인터넷주소(IP)를 차단하고 클라우드 접근 통제를 변경했다”면서 “DB 접속 모니터링을 강화하고 추가 피해 확산을 방지할 보안 조치를 완료했다”고 설명했다. 그러면서 “이용자 피해 구제를 위한 전담 고객센터를 운영하고 지원 절차를 마련할 계획”이라고 덧붙였다. 티빙의 이용자들은 추후 민관합동조사단을 통해 안내받는 절차대로 본인 개인정보의 유출 여부와 피해 범위를 확인할 수 있을 예정이다.

문제는 이번 유출 정보에 CI가 포함됐다는 점이다. CI는 주민등록번호를 일방향으로 암호화해 복원할 수 없도록 만든 정보다. CI에 이름이나 전화번호, 시청이력 등의 정보가 포함되지는 않는다. 그러나 정보통신서비스 제공자가 주민등록번호는 직접 처리하지 않으면서도 이용자를 식별해 개인별 서비스를 제공할 수 있도록 한다. 본인확인 절차가 필수인 금융이나 통신, 공공 서비스 등 광범위한 영역에 쓰여 ‘온라인 주민번호’로 불리기도 한다.

즉 CI는 변하지 않는 고정값이기에 한 번 유출되면 다른 개인정보와 결합되거나 명의도용 등 2차 범죄에 악용될 수 있다. 값을 바꿀 수 없어 피해가 발생하더라도 이용자가 위험을 차단할 수 없다는 점도 치명적이다. 익명을 요구한 보안업계 관계자는 “CI가 바로 금융피해로 연결된다고 볼 수는 없다”면서도 “다른 개인정보와 결합하면 이용자를 식별해 표적형 피싱으로 이어질 가능성이 있다”고 설명했다. 그는 이어 “뿐만 아니라 티빙의 경우 OTT이기에 이용자의 시청 패턴이나 취향까지 파악할 수 있는 것이 문제”라고 덧붙였다.

이에 CI 활용 목적을 보다 엄격하게 제한할 필요성이 대두된다. 실제로 CI 유출을 안전조치 의무 위반으로 판단한 정부는 4월 롯데카드에 과태료 1125만원과 개선 권고를 의결한 바 있다. 민관합동조사단의 조사에서도 유출 규모나 사고 경로뿐만 아니라 CIㆍDI와 다른 개인정보의 결합 가능성, 서비스 이용 관련 정보의 유출 범위 등이 다뤄질 것으로 보인다. 티빙은 책임을 지고 정부 조사에 적극 협조하겠다는 입장이다. 전날 최주희 티빙 대표는 “이번 보안 사고로 고객들께 심려를 끼쳐드린 점 진심으로 사과드린다”며 “피해 구제와 이용자 보호를 위해 끝까지 책임지겠다”고 밝혔다．