보안 강화 약속한 티빙…LGU+ 해킹 은폐 의혹 재차 도마
LGU+ 서버 OS 재설치·포렌식 자료 공방…과기부 "확인하겠다"
배민·토스·강남언니·듀오도 증인석…피해 보상·재발방지 약속
[뉴스토마토 이지은 기자] 대규모 개인정보 유출 사고가 발생한 티빙이 국정감사에서 보안 투자와 인력을 확대하고 글로벌 수준의 보안 체계를 구축하겠다고 약속했습니다. 외형 성장에 비해 정보보호 투자가 충분하지 못했다는 점도 인정했습니다.
반면 지난해 불거진 LG유플러스(032640)의 해킹 사고 은폐 의혹을 둘러싼 사실관계 규명은 아직 진행 중입니다. 침해 정황을 통보받은 이후 서버 운영체제(OS)를 재설치한 경위를 놓고 국감장에서 공방이 이어졌고, 회사 귀책사유가 인정될 경우 위약금을 면제할 것인지에 대해서도 LG유플러스는 명확한 답변을 내놓지 않았습니다.
6일 국회 과학기술정보방송통신위원회(과방위)의 과학기술정보통신부 국정감사에 증인으로 출석한 최주희 티빙 대표는 개인정보 유출 사고에 대해 고개를 숙였습니다. 이정헌 민주당 의원이 개발자 접속키가 소스코드에 암호화되지 않은 채 저장되는 등 보안 관리가 미흡했다고 지적하자 최 대표는 "대표이사이자 책임자로서 국민들께 송구하다"며 "보안에 그동안 소홀했음을 여실히 느꼈다"고 말했습니다.
외형 성장에 비해 부족했던 정보보호 투자도 도마에 올랐습니다. 이훈기 민주당 의원은 티빙 매출이 최근 5년간 155억원에서 4068억원으로 약 26배 증가했지만 정보보호 전담인력은 4명에 불과하다고 지적했습니다. 최 대표는 "작은 기업에서 커 나가면서 정보보호 투자액이 늘기는 했지만 충분한지 살펴보지 못했다"며 "인력과 투자액을 늘려 제로트러스트 기반의 글로벌 수준으로 끌어올리겠다"고 밝혔습니다. 피해 이용자에게는 피싱 예방보험과 포인트·쿠폰 등을 제공하고 있다고 설명했습니다.
정부도 사고 은폐나 조사 비협조에 엄정 대응하겠다는 입장입니다. 배경훈 부총리 겸 과기정통부 장관은 황정아 민주당 의원의 질의에 "자료 제출 거부 등 침해사고를 은폐하려는 기업에 대해서는 엄정하게 대응할 필요가 있다고 본다"고 말했습니다.
지난해 발생한 LG유플러스 해킹 사고 은폐 의혹도 현재 진행 중입니다. 한준호 민주당 의원은 지난해 7월19일 한국인터넷진흥원(KISA)이 침해 정황을 통보한 이후 LG유플러스가 8월12일 계정관리시스템(APPM) 관련 서버 OS를 재설치한 경위를 집중 추궁했습니다. 한 의원은 "보통 침해 가능성을 통보받으면 OS를 재설치하기 전에 원본 상태를 보존하지 않느냐"고 물었습니다. 홍관희 LG유플러스 정보보안센터장(CISO)은 "원본 상태를 보존할 수 있는 범위 내에서는 조치를 취했다"면서도 일부 미흡한 부분이 있었다는 취지로 답했습니다.
서버 재설치 전 KISA에 제출한 자료가 디스크 전체를 복제한 포렌식 이미지인지도 쟁점이 됐습니다. 홍 센터장은 "포렌식할 수 있는 자료로 제출한 것으로 알고 있다"고 답했습니다. 한 의원은 원본이 보존됐다면 민관합동조사단이 OS 재설치로 침해 흔적과 공격 경로를 확인할 수 없다고 발표한 이유가 무엇인지 따져 물었고, 배 부총리는 "부처에서도 확인하겠다"고 답했습니다.
이훈기 의원은 수사를 통해 고의적인 사고 은폐나 증거 인멸이 확인돼 회사의 귀책사유로 인정될 경우 약관에 따라 위약금을 면제해야 하는 것 아니냐고 질의했습니다. 홍 센터장은 "이용자 보호조치가 필요한 부분에 대해서는 최대한 조치할 수 있는 부분을 검토하겠다"고 답했지만 위약금 면제 여부에는 확답하지 않았습니다.
앞서 오전 질의에서 배 부총리는 "고의적으로 증거 인멸이나 조사 방해가 밝혀지면 당연히 위약금 면제를 요청해야 한다"며 중대한 서비스 장애나 계약상 핵심 의무 위반 사례가 발생하면 위약금 면제가 이뤄지도록 정부도 적극 나서겠다고 밝혔습니다.
이날 증인석에는 다른 개인정보 유출 사고 기업 관계자들도 자리했습니다. 배달의민족 운영사 우아한형제들은 고객정보 무단 조회·반출 사고와 관련해 실제 피해가 확인된 고객에게 배상을 진행했으며 외주 수탁사 관리·감독을 강화했다고 밝혔습니다. 토스페이먼츠는 피해 고객에게 현금성 상품권을 지급하고 가맹점 관리·감독을 강화하고 있다고 설명했습니다.
또 강남언니 운영사 힐링페이퍼는 정보보호 인력을 3배 이상 늘리고 관련 투자를 2.5배 이상 확대하겠다고 밝혔습니다. 듀오는 일괄적인 보상안은 마련하지 못했지만 정보 유출에 따른 추가 피해가 확인될 경우 책임지고 배상하겠다는 입장을 내놨습니다.
이지은 기자 jieunee@etomato.com