[단독] '티빙 해킹' 1953만명 털렸다…유료 회원 수와 차이 나는 이유?

티빙 개인정보 유출 사건의 피해 규모가 1953만명으로 확인됐습니다. 사고 발생 초기 정부가 파악한 잠정치 1300만명보다 훨씬 큰 규모입니다. 피해 규모로는 쿠팡(3755만명), 네이트·싸이월드(3500만명), SKT(2324만명) 정보유출 사건에 이어 네 번째 수준입니다.

사건을 조사 중인 개인정보보호위가 이정헌 더불어민주당 의원실(국회 과방위)에 제출한 자료에 따르면 현재까지 파악한 티빙 개인정보 유출 사건 피해 규모는 1953만명입니다.

문제는 이 숫자가 티빙의 실제 서비스 이용 규모를 훨씬 웃돈다는 점입니다. 모바일인덱스에 따르면 지난 4월 기준 티빙의 월간 활성 이용자(MAU)는 770만명, 유료 가입자는 500만명 안팎으로 확인됩니다. 유출 피해 대상 1953만명은 MAU보다 1200만명 이상 많은 규모입니다.

개인정보보호위원회는 현재 이 격차의 배경을 들여다보고 있습니다. 탈퇴 회원과 휴면 계정 보유자, 그리고 통신사 결합 상품이나 디즈니플러스 등 제휴를 통해 생성된 번들 연동 계정까지 유출 범위에 포함됐는지가 핵심 분석 대상입니다. 탈퇴·휴면 계정 등이 개인정보보호법에 따라 적절히 파기되거나 관리됐는지도 조사 중입니다.

개인정보보호법에 따르면 보유 목적이 달성된 개인정보의 경우 지체 없이(정당한 사유가 없는 한 5일 이내) 파기해야 합니다. 만약 탈퇴·휴면 계정이 파기되거나 분리되지 않은 채 유출 범위에 포함된 것으로 확인되면, 과징금 산정 시 위반의 중대성을 가중하는 근거가 될 수 있습니다.

사고 인지 시점 관련 신고 내역에서도 시차가 있어 의문이 제기됩니다. 과기정통부와 개인정보보호위원회에 각각 제출된 신고서 상 사고 인지 시점이 서로 다르게 기재된 겁니다. 과기정통부 신고서에는 인지 시점이 5월 31일 오후 3시 9분으로 적혀 있지만, 개인정보보호위원회 신고서에는 5월 30일 오후 4시 30분 최초 인지했다고 썼습니다.

또 티빙 측은 최초 인지 시점에 이어 6월 2일 오전 6시 18분 'DB 저장 파일의 외부 전송 사실을 확인'했단 내용을 별도로 명시했습니다. 시스템에 비인가 접근이 있었다는 사실은 5월 30일 오후에 인지했지만, 실제로 데이터가 외부로 빠져나갔다는 사실을 최종 확인하기까지는 사흘 가까운 시간이 더 걸렸다는 뜻입니다.

민관합동조사단은 이 같은 공백이 발생한 경위를 들여다보고 있습니다. 과기정통부 관계자는 "기업이 자체적으로 시스템 오류인지 해킹인지를 파악하는 데 시간이 걸린 것으로 보인다"고 말했습니다. 다만 정확한 경위에 대해서는 "최고정보보호책임자(CISO) 보고 경로 추적 인터뷰와 내부 보고자료 검토를 진행할 예정"이라고 밝혔습니다. 단순한 기술적 지연 외에 보고 체계상 문제가 있었는지도 함께 살펴보겠단 취지입니다.

티빙의 보안 투자가 최근 2년 연속 감소해 온 사실도 다시 주목받고 있습니다. KISA 정보보호공시에 따르면 티빙의 정보보호 투자액은 2022년 21억9667만원으로 정점을 찍은 뒤 2023년 18억3940만원, 2024년 17억6510만원으로 줄었습니다. 2년 새 감소폭은 약 20%에 달합니다. 같은 기간 티빙의 가입자와 매출은 오히려 증가세였던 것과 대비됩니다. 티빙은 또 최고정보보호책임자(CISO)와 개인정보보호책임자(CPO)를 모두 비임원급 인사가 겸직하는 체제로 운영해온 것으로 드러났습니다.

피해자들의 법적 대응도 본격화하고 있습니다. 법무법인 지향에 따르면 티빙을 상대로 손해배상 소송 참여 의사를 밝힌 원고 규모는 9만명을 넘어섰습니다. 청구액은 원고 1인당 30만원입니다. 특히 '디지털 주민등록번호'로 불리는 연계정보(CI)가 유출 대상에 포함된 데 대해 이용자들의 우려와 불만이 큰 것으로 전해집니다. CI는 한 번 유출되면 교체가 불가능하고 다른 유출 사고의 정보와 결합해 신원 특정에 악용될 위험이 있어, 일반적인 개인정보 유출 사고보다 파장이 클 수 있다는 우려가 나옵니다.

이정헌 의원은 이번 사태에 대해 "국내 플랫폼사가 이용자 정보를 얼마나 가볍게 다뤄왔는지를 보여주는 사례"라며 "정부는 이번 조사 결과를 토대로 단순 처벌에 그치지 않고 재발 방지를 위한 제도적 보완책을 마련해야 한다"라고 지적했습니다.