3954만 개와 2만 원, 티빙이 매긴 '내 정보'의 가격

지난 5월 30일 저녁, 국내 대표 OTT 플랫폼 티빙의 데이터베이스 서버에 정체불명의 침입자가 접속했다. 별다른 제지 없이 하루를 넘긴 이 침입은 다음 날 대량의 정보를 외부로 빼내는 것으로 이어졌다. 이용자들이 이 사실을 통지받은 건 그로부터 사흘이 더 지난 6월 3일이었다.

석 달 뒤인 9월, 정부 조사 결과가 공개되면서 사고의 전모가 드러났다. 유출된 계정은 3954만 개, 유출된 개인정보 항목은 20개 분야 70종에 달했다. 그리고 이 모든 것에 대해 티빙이 이용자 한 명에게 건넨 보상의 '체감가치'는 2만 원이었다.

● 무슨 일이 있었나

6월 3일 티빙이 처음 사고를 공지했을 때만 해도 피해 규모는 명확하지 않았다. 석 달간 이어진 과학기술정보통신부와 한국인터넷진흥원(KISA) 민관합동조사단의 조사 끝에 지난 3일 발표된 최종 결과는 예상보다 컸다. 조사단에 따르면 이번 침해로 유출된 계정은 로그인이 가능한 활성 계정 2206만 개, 휴면·탈퇴 등 비활성 계정 1737만 개, 테스트 계정 11만 개를 합쳐 총 3954만 개에 이른다.

유출된 정보는 아이디와 비밀번호, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI)와 중복가입확인정보(DI), 결제 이력 등 20개 항목, 70종에 달했다. 다만 동일인이 최대 13개 계정을 보유한 사례가 확인된 데다 CI가 없는 계정 2040만 개는 중복 여부조차 확인하지 못해 실제 피해자 수는 계정 수보다 적을 것으로 추정된다.

사고의 원인은 한두 가지가 아니었다. 개발 환경의 접속키가 소스코드에 그대로 하드코딩돼 있었고, 접근 권한 통제와 이상징후 탐지·보고 체계도 제대로 작동하지 않았다. 시스템 접속 기록을 6일치만 보관해온 탓에 공격자가 최초로 접속키를 어떻게 탈취했는지는 끝내 규명되지 못했다. 정보통신망법이 정한 24시간 이내 신고 의무도 지켜지지 않았다. 조사단은 보안팀이 침해를 인지한 시점을 5월 31일 오전 10시 10분으로 판단했는데 신고는 그로부터 하루 넘게 지난 6월 1일 오후 3시 8분에야 접수됐다.

● 경제적 피해, 그 규모

이 사고가 남긴 경제적 청구서는 여러 갈래로 날아들고 있다. 정보통신망법상 신고 지연에 대해 과기정통부는 최대 3000만 원의 과태료를 예고했다. 이보다 무거운 건 개인정보보호위원회가 매길 과징금이다. 개인정보보호법상 과징금은 관련 매출의 최대 3%까지 부과할 수 있는데 티빙의 최근 3개년 평균 매출(약 3893억 원)에 이 상한을 단순 적용하면 116억 원 안팎이 나온다.

다만 실제 금액은 유출과 관련된 매출 범위를 어떻게 잡느냐에 따라 달라질 전망이다. 앞서 개인정보위는 지난해 SK텔레콤에 1347억 원, 올해 7월 KT에 540억 원의 과징금을 부과한 바 있고, 지난해 3300만여 명의 정보가 유출된 쿠팡에는 역대 최대인 6246억 원을 부과했다.

민사 소송도 이어지고 있다. 법무법인 지향은 이용자 1051명을 대리해 1인당 30만 원을 청구하는 소송을 냈고, 다른 법무법인에는 최대 10만 명 규모의 소송 참여 의사가 접수됐다. 다만 과거 판례가 그대로 반복된다면 실제 인정액은 청구액에 크게 못 미칠 가능성이 있다. 2014년 카드 3사 유출 사고와 2016년 인터파크 유출 사고 모두, 법원은 수십만 원의 청구액 중 1인당 10만 원만을 인정했다. 매출에도 이미 그림자가 드리웠다. 2분기 손익분기점 달성을 자신했던 티빙은 사고 이후 실적 전망에 경고등이 켜진 상태다.

● '소 잃고 외양간'식 보상

티빙은 지난 7일부터 이달 30일까지 피해자 보상 신청을 받고 있다. 내용은 DB손해보험의 해킹·피싱 안심보험 1년 무료 가입(사이버 금융사기 등 최대 300만 원 보장), 3개월간 프리미엄 시청 기능, 티빙 포인트 50P(5000원 상당), 웨이브 광고형 요금제 1개월 이용권 또는 CGV 콤보 할인쿠폰 중 택1이다. 티빙 스스로 매긴 전체 보상의 '체감가치'는 1인당 약 2만 원. 신청도 자동이 아니라 이용자가 직접 해야 하고, 이미 탈퇴한 회원은 보상을 받으려면 재가입까지 해야 한다.

시민사회의 반응은 싸늘하다. 소비자주권시민회의는 지난 10일 성명에서 포인트와 쿠폰, 이용권 위주의 보상이 실질적인 피해 회복 수준에 미치지 못한다고 지적하며 금전 배상 방안을 마련하라고 촉구했다. 이런 풍경은 사실 낯설지 않다. 지난해 3300만여 명의 정보가 유출된 쿠팡 사고 때도 회사는 5만 원 상당의 할인쿠폰을 보상책으로 내놓았다. 유출 규모가 서로 다른 두 사고에서 기업들이 골라 든 해법은 거의 판박이였던 셈이다.

● 왜 미리 대비하지 못했나

사실 한국에는 이미 2019년부터 '개인정보 손해배상책임 보장제도'가 있다. 기업이 개인정보 유출 사고를 내더라도 피해자에게 배상할 재원을 미리 마련해두도록 매출과 보유 정보량이 일정 규모 이상인 사업자에게 보험 가입이나 준비금 적립을 의무화한 제도다. 사고가 나기 전에 대비책을 갖추라는 취지의 이미 존재하는 '사전 보험'인 셈이다.

문제는 이 제도가 있으나 마나 했다는 데 있다. 대한금융신문이 2021년 개인정보보호위원회와 보험업계 집계를 인용해 보도한 바에 따르면 제도 도입 당시 방송통신위원회가 추정한 의무 가입 대상 사업자는 18만3300여 곳이었지만 그해 7월 말 기준 실제 가입한 곳은 8435곳에 그쳐 가입률이 5%에도 못 미쳤다.

더 뼈아픈 대목은 따로 있다. 제도가 시행된 이후 이 보험으로 실제 보험금이 지급된 사례가 단 한 건도 없었다는 지적이다. 의무 대상이 누구인지조차 당국이 제대로 파악하지 못하고 있다는 비판도 나왔다. 개인정보보호위원회는 지난해 3월 제도 개선에 나서 의무 가입 기준을 매출 1500억 원 이상, 정보주체 100만 명 이상인 기업으로 좁혀 집중 관리하고 보험료를 낮추는 등 개선책을 내놓았다. 매출 규모나 이용자 수를 볼 때 티빙 같은 기업은 이 제도의 의무 가입 대상에 해당할 가능성이 크다. 그런데도 이번 사고에서 피해자에게 실제로 돌아간 건 회사가 스스로 값을 매긴 2만 원 상당의 서비스 혜택이었다. 제도는 있었지만 그 제도가 소비자가 체감할 수 있는 보상으로 이어지지는 않은 셈이다.

● 우리는 무뎌지고 있는 걸까

더 걱정스러운 대목은 따로 있다. 유출 사고가 반복될수록 사람들이 이를 예외적 사건이 아니라 일상으로 받아들이기 시작했다는 점이다. 마케팅 조사업체 엠브레인 트렌드모니터가 성인 1000명을 대상으로 진행한 조사에서 응답자의 88.4%는 개인정보 유출을 현실적인 위협으로 느낀다고 답했다. 그런데 정작 서비스를 탈퇴하겠다고 답한 비율은 26.3%에 그쳤고 절반이 넘는 55.3%는 불편해도 편의성 때문에 계속 이용할 것 같다고 답했다. 위협은 실감하면서도 행동으로는 잘 이어지지 않는 것이다.

2014년 카드 3사, 2016년 인터파크, 지난해 쿠팡, 그리고 올해 티빙까지 유출 규모는 매번 갱신되지만 그 뒤를 따르는 장면은 크게 다르지 않다. 사과문이 나오고, 포인트와 쿠폰이 뿌려지고 시간이 지나면 다음 사고가 그 자리를 대신한다. 그사이 사람들은 "또 털렸네" 정도의 반응으로 넘어가는 데 조금씩 익숙해지고 있다.

하지만 3954만 개라는 숫자, 그리고 그 뒤에 남을 수백억 원대의 과징금과 소송 비용은 결코 가볍지 않다. 무뎌질수록 기업이 정보 보호에 투자할 유인은 줄어들고 사고는 반복될 수밖에 없다. 지금 필요한 건 다음 유출 공지에 무덤덤해지는 법이 아니라, 그 공지가 다시는 나오지 않도록 목소리를 내는 일이다.

[매일경제 대학생 서포터즈 18기=숙명여자대학교 우민영]