티빙, 취약점 알고도 관리 부실…늑장 신고로 대응도 ‘미흡’

최주희 “대표로서 무거운 책임”…구체적 책임 방안은 언급 안 해
정부 보안인력 4명·공시 9.4명…“외부 인력 포함 여부 차이”
탈퇴 고객도 보상 받으려면 재가입…이달 24일 내 신청해야

티빙이 개인정보 유출 사태에 대해 공식 사과했지만 경영진의 책임에 대한 구체적인 언급은 없었다. 2024년 모의해킹 당시 유출 원인으로 지목된 접속키 노출 취약점을 발견하고도 개선하지 않았다는 정부 조사에 대해선 관련 프로젝트를 인계받아 변경 작업을 진행하던 중 공격을 받았다고 해명했다.

티빙은 3일 오후 4시 서울 중구 코리아나호텔에서 개인정보 유출 사고 관련 설명회를 열었다. 정부 조사 결과 활성·휴면·탈퇴 계정을 포함해 총 3954만개 계정 정보와 개발 프로젝트 361건의 소스코드가 유출됐다.

최주희 티빙 대표이사는 “안전한 서비스를 제공해 드리지 못한 점에 대해 대표이사로서 무거운 책임을 느낀다”며 “이번 일을 뼈아프게 반성하고 정보보안 체계 전반을 근본부터 다시 세우겠다”고 말했다. 다만 경영진이 구체적으로 어떤 방식으로 책임을 질 것인지에 대해서는 답변하지 않았다.

이날 2024년 모의해킹에서 접속키 노출 취약점이 발견된 이후에도 개선되지 않은 이유와 경영진의 책임 계획을 묻는 질문에 조성대 티빙 네트워크기술본부장은 “모의해킹 당시 접속키 노출과 관련해서는 당시 조사에 해당 프로젝트가 존재하지 않았다”며 “이후 티빙의 서비스 변화 과정에서 접속키를 사용하는 프로젝트를 인계받게 됐다”고 설명했다.

이어 “해당 부분에 대한 변경 작업을 진행 중이었지만 그 과정에서 해킹 공격을 받아 미처 예방하지 못했다”고 덧붙였다. 함께 제기된 경영진의 구체적인 책임 방안에 대해서는 별도로 언급하지 않았다.

과학기술정보통신부 민관합동조사단은 이번 사고 원인 가운데 하나로 전사 차원의 정보보호 관리체계 미흡을 지적했다. 같은날 과기정통부 조사단의 조사 결과가 발표됐다. 조사단은 티빙이 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 노출하는 취약점을 발견했음에도 개선 조치하지 않았다고 밝혔다.

침해사고 신고 지연을 두고도 정부와 티빙의 사고 인지 시점에 대한 판단이 엇갈렸다. 조사단은 정보보안팀에 접속키 탈취와 정보유출 의심 상황이 전파된 5월 31일 오전 10시10분을 사고 인지 시점으로 판단했다. 이에 따라 6월 1일 오후 3시8분 이뤄진 한국인터넷진흥원(KISA) 신고가 법정 기한인 24시간을 넘겼다고 보고 정보통신망법상 과태료를 부과할 예정이다.

이에 대해 최 대표는 내부적으로 경영진에 보고되고 사고 대응 태스크포스(TF)가 발동한 시점을 사고 인지 시점으로 판단하면서 신고가 늦어졌다고 설명했다. 다만 이번 일을 계기로 사고 발생 시 상황을 신속히 전파하는 내부 대응 체계가 미흡했다는 점을 인정했다.

▲3일 최주희 티빙 대표이사(오른쪽 두번째)와 주요 경영진이 3일 오후 서울 중구 코리아나호텔에서 사이버 침해 사고에 대해 공식 사과를 하고 있다. (이투데이DB)

보안 인력 규모를 두고 정부 조사와 티빙이 공개한 수치 사이에도 차이가 났다. 조사단은 개발인력 대비 정보보호 담당인력이 4명 내외라고 지적했다. 반면 티빙의 2025년 정보보호 공시상 전담인력은 9.4명이다. 티빙은 산정 범위의 차이라고 설명했다. 정부가 파악한 4명은 내부 인력이며 공시된 9.4명에는 티빙 보안 업무를 담당하는 외부 인력 약 5명이 포함됐다는 설명이다.

티빙은 피해 고객에게 안심보험과 티빙 포인트 등을 제공하기로 했다. 해킹·피싱 등에 따른 사이버 금융사기 등을 최대 300만원까지 보장하는 안심보험을 1년간 제공하고 5000원 상당의 티빙 포인트와 콘텐츠 이용 혜택 등을 지급한다.

보상 패키지는 이달 7일부터 30일까지 24일간 신청을 받는다. 티빙은 해당 기간 안에 신청해야 보상을 받을 수 있다고 밝혔다. 이미 티빙을 탈퇴한 고객도 보상을 받으려면 다시 회원으로 가입해야 한다. 유료 구독은 하지 않아도 된다.

티빙 측은 “보상을 받으려면 신원 확인이나 저희가 가지고 있는 정보값과의 매칭이 필요하기 때문에 불가피하게 가입이 필요하다”며 “구독을 하거나 이런 건 필요하지 않다”고 설명했다.

개인정보 유출에 따른 법적 손해배상에 대해서는 향후 법적 절차에 따라 책임을 지겠다는 입장이다. 최 대표는 ‘배상’이 아닌 ‘보상’으로 발표한 이유를 묻는 질문에 “충분하지는 않겠지만 어쨌든 저희가 최선을 다해서 피해를 입으신 고객분들께 이번 보상안을 마련했다”며 “법적 배상이나 과징금은 법에 따라 정해지는 것에 따라서 저희가 책임을 다해야 되는 것이라고 생각하고 있다”고 말했다.