티빙 개인정보 유출 피해 1천953만명으로 확정
온라인동영상서비스 티빙에서 발생한 개인정보 유출 사고의 피해 규모가 1천953만명으로 최종 파악됐다. 이는 지난 6월 사고 발생 직후 정부가 발표한 초기 잠정치 1천300만명보다 650만명 이상 늘어난 수치다. 이정헌 더불어민주당 의원이 개인정보보호위원회와 과학기술정보통신부로부터 제출받은 자료를 지난 22일 공개하면서 확인됐다.
이번 규모는 국내 개인정보 유출 사고 가운데 쿠팡 약 3천756만명, 싸이월드·네이트 약 3천500만명, SK텔레콤 약 2천324만명에 이어 역대 네 번째로 큰 수준이다. 유료 구독 서비스에서 발생한 사고로는 이례적으로 큰 규모라는 점에서 파장이 확산되고 있다.
사고 경위와 유출 항목
티빙은 지난달 30일 데이터베이스에 대한 비인가 접근 등 이상행위를 최초로 인지했으며, 대용량 파일이 외부로 전송된 사실을 최종 확인한 것은 사흘 뒤인 지난 2일이었다. 회사는 이후 한국인터넷진흥원에 신고하고 이용자들에게 유출 사실을 공지했다.
이정헌 의원실이 제출받은 자료에 따르면 유출 항목에는 아이디, 이름, 생년월일, 성별, 휴대전화번호, 이메일, 비밀번호, 환불 계좌번호, 연계정보인 CI, 중복가입확인정보인 DI 등이 포함됐다. 비밀번호와 환불 계좌번호, 전화번호와 이메일 일부는 암호화 처리된 상태로 유출된 것으로 나타났다.
특히 CI와 DI는 한 번 유출되면 변경이 어려운 정보라는 점에서 2차 피해 우려가 제기된다. CI는 여러 온라인 서비스에서 동일 이용자를 식별하는 데 쓰이는 연계정보이며, DI는 같은 서비스 내 중복 가입 여부를 확인하는 정보다. 이 정보들이 다른 유출 사고의 정보와 결합될 경우 신원 특정에 악용될 수 있다는 지적이 나온다.
유료 가입자 수를 크게 웃도는 피해 규모
이번 사고에서 특히 주목받는 대목은 피해 규모가 티빙의 실제 이용자 수를 크게 웃돈다는 점이다. 모바일인덱스 집계 기준으로 티빙의 지난 5월 월간활성이용자수(MAU)는 약 882만명, 업계에서 추산하는 유료 가입자 수는 약 500만명 수준이다. 그런데 유출 피해자는 이보다 두 배 이상 많은 1천953만명으로 집계됐다.
정부는 현재 이 격차의 배경을 조사하고 있다. 탈퇴 회원과 휴면 계정, 제휴 서비스를 통해 간접적으로 생성된 계정 정보까지 유출 대상에 포함됐는지가 핵심 쟁점으로 꼽힌다. 서비스를 해지했거나 무료 이벤트, 제휴 경로로 한 차례 가입만 했던 이용자의 정보까지 장기간 보관돼 있었다면, 개인정보 보관 기간과 파기 원칙을 지켰는지가 추가로 문제될 수 있다.
과징금 규모와 집단소송 확산
개인정보보호위원회와 과학기술정보통신부는 유출 경로와 규모 확대 배경을 계속 조사하고 있다. 현행 개인정보보호법은 전체 매출액의 3% 범위에서 과징금을 부과할 수 있도록 규정하는데, 이 기준을 적용하면 티빙에 부과될 수 있는 법정 최대 과징금은 약 122억원으로 추산된다. 다만 개인정보위가 지난달 3천756만명 규모의 유출 사고를 낸 쿠팡에 매출의 1.18% 수준인 4천235억7천500만원의 과징금을 부과한 사례에 같은 비율을 적용하면, 티빙의 실제 과징금은 약 48억원 선에 그칠 것이라는 관측도 나온다. 최종 액수는 안전조치 의무 위반 정도, 유출 정보의 종류, 사고 이후 대응 등을 종합적으로 고려해 정해질 예정이다.
이용자들의 집단소송도 빠르게 확산하고 있다. 한 법무법인은 피해 이용자 1천51명을 대리해 서울중앙지법에 1인당 30만원의 손해배상을 청구하는 소송을 제기했고, 다른 법무법인이 모집한 소송인단은 5만6천여명이 참여 신청서를 접수해 최종적으로 7만명에서 10만명 규모까지 늘어날 것으로 예상된다. 이용자들은 서비스 해지나 장기 미접속 이후 파기됐어야 할 개인정보까지 일괄 보관되다 유출됐다는 점에 강하게 반발하고 있다.
초기 잠정치보다 피해 규모가 크게 늘어난 만큼, 향후 조사 결과 공개와 이용자 통지, 보상 논의 과정에서 더 높은 투명성이 요구될 것으로 보인다. 정부는 탈퇴 회원과 휴면 계정 정보의 유출 포함 여부 등 남은 쟁점에 대한 조사를 이어갈 방침이다.
