일요주간 - 티빙 3954만 개 계정 유출 후폭풍… 시민단체 ＂자사 서비스 쿠폰 대신 금전 배상하라＂

▲ 온라인동영상서비스(OTT) 티빙이 개인정보 유출 사고 발생 3개월여 만인 3일 공식 사과에 나선다. 티빙은 3일 사이버 침해 사고 관련 공식 사과 및 설명회를 열고 정보보안 강화 계획과 고객 보상 방안 계획을 발표한다. 사진은 이날 서울 마포구에 위치한 티빙 사무실. (사진=newsis)

티빙의 개인정보 유출 사고로 중복을 포함해 총 3954만 개 계정의 정보가 유출된 가운데, 시민단체가 티빙 측이 제시한 피해보상안의 실효성에 문제를 제기하며 실질적인 금전 배상을 촉구하고 나섰다.

소비자주권시민회의(이하 소비자주권)는 지난 10일 성명을 내고, 과학기술정보통신부와 한국인터넷진흥원(KISA) 민관합동조사단이 발표한 티빙 개인정보 유출 조사 결과를 바탕으로 기업 측의 보상책과 정부의 감독 체계를 강력히 비판했다. 

앞서 조사단은 지난 5월 발생한 사고로 활성 계정 2206만 개, 휴면·탈퇴 등 비활성 계정 1737만 개, 테스트 계정 약 11만 개 등 중복을 포함해 총 3954만 개 계정의 정보가 유출됐다고 발표했다. 이 중 동일인 식별 정보(CI) 1904만 건과 함께 일부 암호화된 개인정보를 복호화할 수 있는 암호키까지 유출된 것으로 확인됐다.

소비자주권은 이번 사고의 원인을 단순한 고도의 외부 공격으로만 보기 어렵다고 지적했다. 민관합동조사단 조사 결과 개발·운영환경 접속키가 소스코드에 그대로 노출되거나 사내 메신저로 공유됐으며, 모든 개발자에게 전체 개발 프로젝트 접근권한이 부여되어 있었던 것으로 나타났다. 접속키의 발급·사용·변경·폐기 및 정기점검 체계 역시 제대로 마련되지 않았던 것으로 조사됐다.

이상징후가 발생한 이후 정보보호 전담조직과 최고책임자에게 상황이 공유되기까지 약 14시간이 소요됐으며, 지난 2024년 모의해킹 과정에서 이미 접속키 하드코딩 취약점을 확인하고도 개선하지 않은 사실도 드러났다. 

최주희 티빙 대표는 같은 날 공식 사과와 함께 정보보호 투자와 전문인력을 대폭 확대하겠다고 밝혔다.그러나 소비자주권은 티빙이 발표한 고객 보상안에 대해 이번 사고의 규모와 장기간 지속될 수 있는 개인정보 악용 위험에 상응하는 실질적인 피해회복 방안으로 보기 어렵다고 주장했다.

티빙은 피해 이용자에게 5000원 상당의 티빙포인트, 웨이브 광고형 요금제 1개월 이용권 또는 CGV 5000원 할인쿠폰, 3개월간 프리미엄급 시청환경, 1년간 해킹·피싱 안심보험 등을 제공하겠다고 발표했다.이와 관련해 티빙은 설명회 질의응답에서 전체 보상안의 ‘체감가치’를 1인당 약 2만 원으로 산정했다고 밝혔다.

소비자주권은 최근 대규모 개인정보 유출 사고가 반복되면서 피해 규모와 함께 개인정보 악용에 따른 소비자의 위험과 불안이 커지고 있지만, 사업자들이 제공하는 보상은 여전히 실질적인 피해회복 수준에 충분히 미치지 못하고 있다고 지적했다.

◇ 개인정보 유출 반복되는데… 보상은 포인트·쿠폰·이용권 중심

소비자주권은 기업마다 사고 원인과 피해 범위, 보상방식이 다른 만큼 단순히 금액만으로 보상 수준을 비교할 수는 없다고 전제했다.그러면서도 대규모 개인정보 유출 사고가 반복되고 있음에도 피해회복이 직접적인 금전배상이 아닌 데이터·포인트·쿠폰·이용권·보험 등 사업자 편의 위주의 서비스형 혜택에 집중되고 있다고 지적했다.

개인정보는 한 번 유출되면 원상회복이 어렵고 다른 정보와 결합해 장기간 피싱이나 명의도용 등에 악용될 위험이 크다는 게 소비자주권의 설명이다.피해자는 계정과 비밀번호를 변경하고 2차 피해 가능성에 지속적으로 대비해야 하며, 이 과정에서 시간과 비용은 물론 정신적 불안까지 감수해야 한다는 것이다.특히 티빙이 제시한 ‘최대 300만 원’ 안심보험 역시 개인정보 유출 자체에 대한 배상을 의미하는 것은 아니라고 지적했다.

소비자주권에 따르면 해당 보험은 1년의 보장기간 내에 일정한 금융피해가 실제 발생하고 보험약관상 요건 충족을 증명해야 지급되는 조건부 보장이다.또한 1년 뒤 보장기간이 끝나더라도 이미 유출된 CI와 개인정보에 대한 위험까지 사라지는 것은 아니라고 강조했다.3개월간 프리미엄 시청환경을 제공하고 5000원 상당의 포인트나 관계서비스 이용권을 지급하는 방식 역시 마찬가지라는 게 소비자주권의 지적이다.

피해자가 티빙이나 관계서비스를 직접 이용해야만 경제적 가치를 얻을 수 있는 혜택을 개인정보 유출에 대한 실질적인 손해배상이나 책임 이행으로 보기는 어렵다는 뜻이다.소비자주권은 사업자가 자율적으로 제공하는 혜택이 추가적인 지원수단은 될 수 있으나, 개인정보 유출에 따른 법적 책임과 실질적 배상을 대신할 수는 없다고 강조했다.

▲ 최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 개인정보 유출 사고와 관련해 공식 사과를 하고 있다. (사진=newsis)

◇ 탈퇴했는데 보상받으려 재가입?… 휴면·탈퇴정보 보유 근거도 공개 요구

티빙의 보상 절차에 대해서도 문제점이 제기됐다.티빙 피해자는 정해진 기간 내 직접 신청을 통해 보상을 받을 수 있으며, 이미 탈퇴한 피해자의 경우 티빙에 다시 가입한 뒤 보상을 신청해야 하는 구조다. 소비자주권은 이미 탈퇴한 소비자에게 다시 계정을 생성하고 개인정보를 제공하도록 요구하는 방식은 피해자 중심의 보상 절차로 보기 어렵다고 지적했다.

이번 개인정보 유출 사고에서는 휴면계정 약 850만 개와 탈퇴계정 약 887만 개의 정보도 포함된 것으로 확인됐다.다만 소비자주권은 “일부 법률에 따른 보존의무가 있을 수 있는 만큼, 탈퇴회원의 정보가 남아 있었다는 사실만으로 개인정보 보호법상 파기의무 위반이라고 단정할 수는 없다”고 밝혔다.

그러면서도 “티빙이 어떤 정보를 어떤 법적 근거에 따라 얼마 동안 보유했는지, 보유기간이 만료된 정보는 실제로 파기했는지를 명확히 공개해야 한다”고 요구했다.개인정보보호위원회에 대해서도 “탈퇴회원 정보의 보유·파기 실태를 조사해 개인정보 보호법 위반 여부를 분명히 판단해야 한다”고 촉구했다.

소비자주권은 이번 사고와 관련해 대한변호사협회 역시 같은 취지의 조사를 요구한 바 있다고 덧붙였다.

◇ 과징금 커지는데 대규모 유출은 반복… “사후 제재 넘어 선제적 보호체계 필요”

소비자주권은 개인정보 유출 사고가 반복되는 상황에서 개인정보보호위원회의 역할 역시 사후 제재 중심에서 사고 예방 중심으로 전환돼야 한다고 주장했다.

지난해 SK텔레콤 사고 이후 예스24, KT, 롯데카드, 쿠팡 등에 이어 올해 역시 여러 기업과 기관에서 개인정보 유출 사고가 이어지고 있다는 지적이다.소비자주권은 대규모 사고의 반복으로 소비자들조차 개인정보 유출에 둔감해질 만큼 피로감과 체념이 커지고 있다고 지적했다. 특히 국민이 개인정보 유출을 어쩔 수 없는 일로 받아들이기 시작했다면 국가 개인정보 보호정책이 이미 심각한 위기에 봉착한 것이라고 강조했다.

개인정보보호위원회는 사고 발생 때마다 조사 후 과징금을 부과해 왔으며 최근에는 법 개정을 통해 제재 수위도 높였다. 그러나 소비자주권은 과징금이 사업자에 대한 행정제재일 뿐 피해자에게 지급되는 배상금은 아니라고 짚었다.무엇보다 대규모 과징금이 부과됨에도 수천만 명 규모의 유출 사고가 지속된다면, 과징금 액수가 커졌다는 사실만으로 보호정책이 제대로 작동한다고 평가할 수 없다고 지적했다.

티빙 역시 “정보보호 관리체계(ISMS) 인증을 받은 사업자였으나, 정부 조사 결과 접속키 관리와 접근권한, 모니터링, 취약점 개선 등 기본 관리체계에서 허점이 드러났다”고 비판했다.안전조치의무와 정보보호 인증, 개인정보 수집·보유·파기에 관한 법적 기준이 엄연히 존재함에도 대규모 유출이 반복된다면 기존 제도와 관리·감독 체계의 실효성을 재점검해야 한다는 것이다.

이에 소비자주권은 “개인정보보호위원회가 사고 후 과징금 부과에 그치지 않고, 대규모 개인정보처리자의 위험도에 따라 보유·파기, 접근권한, 인증정보 관리, 이상행위 탐지, 취약점 개선 여부 등을 상시 점검하는 선제적 보호체계를 구축해야 한다”고 촉구했다.개인정보 보호정책의 성과는 과징금 부과 규모가 아니라, 대규모 유출을 사전에 얼마나 차단했는지로 평가받아야 한다는 설명이다.

◇ “소송하는 1%만 배상받는 구조… 기업 민사책임에 거대한 공백”

소비자주권은 개인정보 유출 피해에 대한 현행 민사상 권리구제 방식의 문제점도 제기했다.보도에 따르면 티빙 개인정보 유출 관련 공동소송 참여자는 약 20만~30만 명으로 추정된다. 이는 사고 직후 티빙이 밝힌 보상대상자 약 1950만 명 대비 1%를 살짝 넘는 수준이다.

소비자주권은 “수천만 명이 동일한 원인으로 피해를 입었음에도 적극적으로 소송에 참여한 일부 피해자에게만 배상책임이 인정된다면, 나머지 피해에 대한 기업의 민사책임에는 거대한 공백이 발생한다”고 주장했다.특히 개인정보 유출 원인과 보안시스템 운영, 접속권한, 접속기록, 내부보고 등 핵심 증거 대부분이 사업자 측에 편재돼 있어 피해자가 이를 입증하기도 쉽지 않은 실정이다.

소비자주권은 “반복되는 소액·다수 소비자 피해를 실질적으로 구제하기 위해 집단소송제 도입을 지속해서 요구해 왔다”고 밝혔다.대한변협 역시 “이번 사태를 계기로 피해자의 증거 접근성을 높이는 디스커버리(증거개시), 징벌적 손해배상, 개인정보 침해 및 소비자 피해 전반에 대한 집단소송제의 조속한 입법을 촉구했다”고 전했다.

소비자주권은 집단소송제가 피해자에게 없던 권리를 신설하는 제도가 아니라는 점도 명확히 했다. 소비자는 사업자의 위법행위로 피해가 발생하면 손해배상청구권을 갖게 되지만, 개별 피해액 대비 소송비용과 시간 부담이 크고 증거가 사업자에 몰려 있어 실제 권리 행사에 어려움을 겪고 있다는 설명이다.

사업자가 전체 피해 규모에 상응하는 민사상 책임을 실제로 부담해야만 개인정보 보호 실패를 경영위험으로 인식하게 되며, 실질적인 손해배상이 이루어져야 사업자가 사전 보안 투자를 강화하는 예방 효과로 이어질 수 있다는 게 소비자주권의 시각이다.

◇ 소비자주권, 티빙·개인정보위·정부·국회에 4가지 촉구

소비자주권은 이번 티빙 개인정보 유출 사고와 관련해 티빙과 개인정보보호위원회, 정부 및 국회에 네 가지 요구사항을 전달했다.우선 티빙을 향해 스스로 산정한 ‘체감가치’ 약 2만 원 상당의 서비스 패키지를 넘어, 유출 정보의 성격과 피해 규모, 장기적 불안 및 2차 피해 위험을 반영한 실질적 금전배상 방안을 마련하라고 요구했다.

5000원 포인트와 서비스 이용권은 개인정보 침해 손해배상을 대신할 수 없으며, 피해자가 서비스를 이용하지 않더라도 실질적인 피해회복이 가능해야 한다는 입장이다. 이어 탈퇴 피해자가 재가입 없이 보상받을 수 있도록 절차를 개선하고, 휴면·탈퇴계정 개인정보의 보유 목적과 법적 근거, 보유기간 및 실제 파기 내역을 공개하라고 촉구했다. 개인정보보호위원회에는 파기 대상 개인정보가 유출 범위에 포함됐는지, 불필요한 장기 보유가 피해를 키웠는지를 철저히 조사할 것을 요구했다.

아울러 개인정보보호위원회가 사후 과징금 부과에 머물지 말고 국가 개인정보 보호 총괄기관으로서 선제적 관리·감독 책임을 강화해야 한다고 밝혔다. 범정부 차원에서 대규모 유출의 반복 원인을 점검하고, 대규모 개인정보 처리 사업자의 위험을 사전에 관리하는 실효적 감독체계를 마련해야 한다는 것이다.

정부와 국회를 향해서는 개인정보 침해 및 소액·다수 소비자 피해의 실질적 구제를 위해 디스커버리 제도, 실효성 있는 징벌적 손해배상, 집단소송제를 조속히 제도화하라고 촉구했다. 피해자 권리 행사의 한계를 이용해 사업자가 실질적 책임을 회피하는 구조를 방치해서는 안 된다는 지적이다.

소비자주권은 개인정보의 가치를 경제적으로 단순 환산하기 어렵고 유출 후 원상복구도 불가능하다고 재차 강조했다.그러면서 수천만 개 계정이 유출된 사고에서 사업자가 제시한 ‘체감가치 2만 원’ 상당의 서비스 패키지로 보상을 대신하려는 현실을 바로잡아야 한다고 지적했다.

사업자는 서비스 혜택을 제공하고 정부는 과징금을 부과하지만, 정작 대다수 피해자는 권리 행사를 포기하는 구조가 과연 반복되는 유출을 막고 피해자를 구제하고 있는지 근본적인 의문을 던진 것이다.

소비자주권은 티빙이 피해 소비자를 향한 실질적 손해배상에 나설 것을 재차 촉구했다. 동시에 개인정보보호위원회와 정부·국회가 대규모 개인정보 유출을 과징금과 자율보상에 맡기지 말고, 선제적 보호와 실질적 배상, 집단적 권리구제가 연계되는 책임체계를 조속히 구축할 것을 요구했다.

일요주간 / 임태경 기자 allonbebe@naver.com 

[저작권자ⓒ 일요주간. 무단전재-재배포 금지]