“티빙 탈퇴했는데 보상받으려면 재가입”...정보유출 피해자는 ‘각자도생’

여러 정보 조합하면 2차 피해 가능성 커져
정부, ‘정보주체 피해위험평가’ 실시해야

▲최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 개인정보 유출 사고와 관련해 공식 사과를 하고 있다. (사진=뉴시스)

3954만 개의 계정이 유출된 티빙에서 내놓은 보상을 받으려면 휴면·탈퇴 고객은 재가입해야 한다. 유출된 정보가 조합됐을 때 어떤 2차 피해가 발생할 수 있는지 고객이 스스로 판단하기도 쉽지 않다. 대규모 해킹 사고 이후 피해 대응 부담이 정보주체에게 돌아가는 구조를 바꿔야 한다는 지적이 나온다.

6일 업계에 따르면 티빙이 보유한 회원 계정 전부가 유출됐다. 과학기술정보통신부 민관합동조사단에 따르면 티빙에서 로그인이 가능한 활성화 계정 2206만 개, 휴면·탈퇴 등 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 3954만 개 계정이 유출됐다.

티빙은 1인당 2만원 상당의 고객 보상 패키지를 내놨다. 5000원 상당의 티빙 포인트와 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 지급한다. 해킹·피싱 등 사이버 금융사기를 1인당 최대 300만원까지 보장하는 안심 보험도 1년간 제공한다.

문제는 보상을 받으려면 7일부터 30일까지 티빙 홈페이지나 모바일 앱에 로그인해 직접 신청해야 한다는 것이다. 티빙은 유출 대상에 포함된 탈퇴회원에게도 휴대전화 문자와 이메일 등을 통해 보상 신청 사실을 안내할 예정이다.

이미 티빙을 탈퇴한 이용자가 보상을 받으려면 재가입해야 한다. 최주희 티빙 대표는 탈퇴·휴면 상태 고객이 약 1700만명이라며 “구독까지 할 필요는 없지만 신원 확인과 정보값 매칭을 위해 가입은 불가피하다”고 밝혔다.

개인정보 유출은 이용자의 선택과 무관하게 발생했는데 피해자가 보상을 신청하고 탈퇴자는 재가입까지 해야 하는 구조다. 한 피해 고객은 “피해자가 신청기간을 확인하고 보호조치를 신청해야만 혜택을 받을 수 있는 건 피해구제의 부담을 다시 피해자에게 전가하는 것”이라고 지적했다.

이번 사건으로 유출된 개인정보는 아이디와 성명, 비밀번호, 휴대전화번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종이다. 유출된 계정 중 CI를 보유한 계정은 1904만 개(중복 제거 시 1324만 개)다. CI는 본인확인기관이 주민등록번호 대신 개인을 식별하도록 부여하는 정보다.

정보 유출 위험은 단순히 유출 규모만으로 결정되지 않는다. 이름이나 휴대전화번호, 이메일 주소가 유출된 경우와 생년월일, CI·중복가입 확인정보(DI), 계좌번호, 비밀번호 등이 함께 유출된 경우에 발생할 수 있는 위험은 다르다. 여러 정보가 결합되면 스미싱·피싱이나 계정 탈취, 본인 사칭 등 2차 피해에 악용될 가능성도 커진다.

이에 전문가들은 대규모 개인정보 유출 사고가 발생하면 국민이 어떤 위험에 처했는지를 정부가 직접 평가하고 설명하는 체계가 필요하다고 지적한다. 유출된 개인정보의 종류와 결합 가능성, 유출 경로, 외부 반출 여부, 다크웹 등에서의 유통 가능성, 악용 가능성 등을 종합해 위험 수준을 평가해야 한다는 것이다.

김도승 개인정보보호법학회장(전북대 로스쿨 교수)는 “대규모 개인정보 유출 사고 발생 시 정부가 기업의 법 위반 여부를 조사하는 것을 넘어 ‘정보주체 피해위험평가’를 실시해야 한다”며 “위험 유형별로 국민이 취해야 할 행동과 기업에 요구할 수 있는 보호조치를 정부가 제시해야 한다”고 제언했다.

대규모 개인정보 유출이 반복되는 상황에선 ‘사고를 막는 것’을 넘어 사고 이후 피해를 최소화할 수 있는 체계를 갖추는 것이 중요하다. 김 학회장은 “사업자의 위법성을 조사하는 데서 한 걸음 더 나아가 ‘국민에게 어떤 위험이 발생했는가’를 또 하나의 조사 축으로 삼아야 한다”고 덧붙였다.