해킹 신고 3주... 피해 규모도 발표 못한 티빙

월간 이용자 900만인데, 유출 정보는 1953만?

국내 온라인동영상서비스(OTT) 티빙은 3일 공지사항을 통해 개인정보 유출 사실을 통지했다. 유출된 개인정보는 아이디, 이름, 생년월일, 성별, 전화번호, 이메일 등이다./뉴스1

직장인 김모(36)씨는 최근 티빙 홈페이지에 접속해 자신의 개인정보 유출 여부를 조회했다. 한동안 계정을 쓰지 않은 휴면 회원이었지만 아이디·이름·이메일 등의 정보가 유출됐다는 안내가 떴다. 김씨는 “티빙으로부터 따로 안내 받은 게 없었다”며 “기사를 보고 혹시나 하는 마음에 조회해봤더니 정보가 유출됐다고 나와 황당했다”고 했다.

티빙이 지난 3일 회원 정보 유출 사실을 공지한 지 3주가 되도록 피해 규모조차 확정하지 못하고 있다. 피해자에게 개별 안내를 하는 대신 전체 가입자에게 해킹 사실을 알리는 문자를 보낸 것이 전부다. 이용자들은 지난 11일부터 직접 로그인해 자신의 정보 유출 여부와 유출 항목을 확인할 수 있다. 유출 여부를 이용자가 스스로 찾아봐야 하는 셈이다. 티빙 관계자는 “개개인이 개별 조회를 하는 건 가능하지만 아직 조사 결과를 기다리고 있다”며 “중간에 자체 발표로 혼선을 주지 않기 위한 조치”라고 설명했다. 그러나 앞서 SK텔레콤·쿠팡 등 해킹 사고 기업은 정부 발표 전 자체적으로 피해 규모를 집계해 공개하고, 피해 사실을 안내했다.

◇이용자 2배 넘는 유출 규모?

최근 이정헌 더불어민주당 의원실이 관계 기관에서 받은 자료에 따르면, 집계된 피해 규모는 1953만명이다. 이 수치로 확정되면 쿠팡(약 3755만명), 싸이월드·네이트(약 3500만명), SK텔레콤(약 2324만명)에 이어 역대 네 번째 유출 규모가 된다. 이는 사고 초기 예측을 크게 웃도는 것이다. 지난 5월 기준 티빙의 월간 활성 이용자(MAU)는 약 882만명, 업계가 추정하는 유료 회원은 500만명 선인데, 유출 규모가 이를 훌쩍 넘어섰다.

티빙이 “개인 정보를 저장하는 데이터베이스(DB)를 통해 정보가 유출됐다”고 공지한 만큼, 유료·무료·휴면 회원을 가리지 않고 보유 회원 정보가 통째로 빠져나갔을 것이란 추정이 나온다. 여기에 웨이브·디즈니플러스 등 결합 요금제 연결 계정, CJ ONE·네이버·카카오 등 제휴 연동 계정까지 더해지면서 유출 규모가 커졌을 것으로 분석된다. 다만 같은 사람의 정보도 연동 계정별로 달리 집계돼 중복 가능성도 있다.

사고 대응이 적절했는지도 논란이다. 티빙은 지난달 30일 시스템 내 이상 징후를 처음 인지했지만, 대용량 파일이 외부로 전송된 사실을 최종 확인한 시점은 사흘 뒤인 6월 2일이었다. 과학기술정보통신부와 개인정보보호위원회에 각각 낸 신고서에 최초 인지 시점을 서로 다르게 적은 경위에 대해서도 정부가 조사 중인 것으로 알려졌다.

◇제2 주민등록번호 ‘CI값’

이번에 유출된 항목 중에는 CI(연계정보)가 포함됐다. CI는 일반 기업의 주민등록번호 수집이 제한된 뒤 이를 대체하기 위해 도입된 88바이트(byte) 길이의 암호화된 식별자다. 전 국민의 실제 주민등록번호와 1대1로 매칭되는 고윳값이어서 사실상 ‘온라인 주민등록번호’로 불린다.

다른 사람의 주민등록번호를 안다고 곧바로 그 사람 명의의 카드 대출을 받거나 통장을 개설할 수 없듯, CI값 유출 자체의 위협이 크지는 않다. 문제는 이를 다른 사이트에서 유출된 데이터(A 사이트의 비밀번호, B 사이트의 전화번호 등)와 엮으면 거대한 개인 데이터베이스를 만들 수 있다는 점이다. 특정인을 콕 집어 맞춤형 미끼 문자를 보내는 식의 정교한 타기팅이 가능해진다. 이 때문에 국가정보원도 최근 경찰청 등 공공기관에 ‘CI값 대량 유출에 따른 보안 조치’를 권고한 것으로 전해졌다.

한편 피해 이용자들의 법적 대응도 본격화해, 티빙을 상대로 한 손해배상 청구 소송에 9만명 넘는 이용자가 참여 의사를 밝혔다.