"티빙 대주주가 직접 소명하라"···윤상현 CJ ENM 대표 국감 소환

3954만개 계정정보 유출···보안 관리 부실도 도마

'체감가치 2만원' 보상안···적정성 논란 지속

커지는 티빙 사업 위상···모회사 관리·감독 쟁점

그래픽=이찬희 기자

국내 대표 온라인동영상서비스(OTT) 티빙(TVING) 해킹 사고에 대한 책임론이 티빙을 넘어 모회사인 CJ ENM으로까지 번지는 모양새다. 최주희 티빙 대표와 윤상현 CJ ENM 대표가 나란히 국정감사 증인으로 채택되면서다. 티빙이 최근 해킹 사고에 따른 보상안을 내놨지만 실효성을 둘러싼 논란도 이어지고 있다. 이 가운데 국회가 사고 당사자인 티빙뿐 아니라 모회사 차원의 정보보호 투자와 관리·감독 체계까지 들여다보겠다는 취지로 풀이된다.

29일 국회 및 IT업계 등에 따르면 국회 과학기술정보방송통신위원회(이하 과방위)는 다음달 6일 열리는 국정감사 증인에 최주희 티빙 대표와 윤상현 CJ ENM 대표이사를 포함시켰다. 과방위는 지난 22일 전체회의를 열고 이 같은 내용의 국정감사 증인·참고인 명단을 의결했다.

최 대표에게는 티빙 해킹 사고 및 고객 보상 등에 대한 질의가 집중될 것으로 보인다. 윤 대표의 경우 증인 채택 사유로 '주요 종속회사 티빙의 대규모 개인정보 침해사고와 관련한 모회사 차원의 정보보호 거버넌스, 투자 및 관리·감독 체계 확인'이 명시됐다. 티빙의 해킹 사고를 개별 자회사의 보안 문제로만 보지 않고 모회사의 정보보호 투자와 관리·감독 책임까지 살펴보겠다는 의미로 읽힌다.

티빙 해킹 사고는 지난 5월 발생했다. 과학기술정보통신부 민관합동조사단의 최종 조사 결과 티빙에서는 중복을 포함해 총 3954만개 계정 정보가 외부로 유출된 것으로 확인됐다. 동일인이 최대 13개 계정을 보유한 사례도 있어 유출 계정 수가 실제 피해자 수를 의미하는 것은 아니다.

이를 감안해도 티빙 침해사고는 지난해 잇따른 대형 해킹 사태와 견줘 외형상 유출 규모가 상당하다. 지난해 SK텔레콤 해킹 당시 유출된 IMSI(가입자식별번호) 기록 약 2696만개를 웃도는 규모다. KT에서도 1만6647명의 개인정보 유출과 실제 금전 피해가 발생했으며 LG유플러스에서는 정보 유출이 확인됐지만 관련 서버 폐기 등으로 정확한 유출 규모를 특정하지 못했다. 쿠팡 역시 개인정보위 최종 조사에서 약 3755만명의 개인정보가 유출된 것으로 확인됐다.

티빙 해킹 사고 관련 유출 정보에는 아이디와 비밀번호를 비롯해 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 개인정보 20개 항목(70종)이 포함됐다. 특히 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 사실상 평문이 유출된 것과 같은 수준으로 조사됐다.

정부 조사에서는 티빙의 정보보호 관리체계 전반에 걸친 문제점도 드러났다. 티빙은 2024년 모의해킹을 통해 일부 취약점을 확인하고도 이를 개선하지 않았으며 이상징후 발생 이후 정보보호 전담조직 등에 상황이 공유되기까지 약 14시간이 걸린 것으로 나타났다. 당시 티빙 임직원 265명 가운데 개발인력은 149명이었던 반면, 정보보호 전담인력은 4명 안팎에 그쳤다.

티빙은 사고 이후 피해 이용자를 대상으로 보상안도 내놨지만 비판 여론을 쉽사리 잠재우지 못했다. 티빙은 개인정보 유출 대상자에게 1인당 체감가치 약 2만원 상당의 보상 패키지를 제공하고 있다. 보상안에는 해킹·피싱 안심보험 1년 무료 이용과 3개월간 프리미엄급 시청 기능, 티빙 포인트 5000원, 제휴 혜택 등이 포함됐다. 안심보험은 향후 해킹이나 피싱 등으로 금전적 피해가 발생할 경우 최대 300만원까지 보장하는 상품이다.

다만 보상 방식과 수준을 두고 적정성에 대한 지적도 나온다. 피해에 대한 직접적인 현금 보상이나 이용료 환급이 아닌 보험·자사 서비스 혜택 등을 묶어 '체감가치'를 산정한 데다 피해 이용자가 직접 신청해야 보상을 받을 수 있어서다. 이미 티빙을 탈퇴한 이용자의 경우 보상을 받기 위해 다시 회원으로 가입해야 한다.

업권과 피해 양상은 다르지만 앞서 대규모 해킹 사고를 겪은 통신사들이 내놓은 보상책과도 비교된다. SK텔레콤은 지난해 약 2400만 고객을 대상으로 한 달 통신요금 50% 할인과 5개월간 매월 데이터 50GB 추가 제공 등을 담은 약 5000억원 규모의 고객 감사 패키지를 시행했다.

KT는 개인정보 유출 피해 고객에게 15만원 상당의 통신요금 할인 또는 단말 교체 할인과 5개월간 매월 데이터 100GB 등을 제공하고 무단 소액결제로 발생한 금전 피해는 전액 보상했다.

업계에서는 이번 국감에서 티빙의 해킹 사고에 대한 책임은 물론 피해 보상의 적정성 등에 대한 질의도 이어질 것으로 보고 있다.

더불어 주요 종속회사의 정보보호 체계와 관련 투자에 대해 모회사가 어떤 관리·감독 역할을 해왔는지도 이번 국감의 쟁점으로 떠오를 전망이다. 티빙의 사업적 중요성이 커지는 사이 이번 사고를 통해 정보보호 인력과 투자, 내부 관리체계의 취약점이 드러나면서다.

티빙은 지난 2020년 CJ ENM이 OTT 사업부문을 물적분할해 설립한 회사로 현재 CJ ENM의 주요 종속회사로 분류된다. 티빙은 최근 외형 성장을 이어가며 CJ ENM의 핵심 디지털 플랫폼 가운데 하나로 자리 잡았다. CJ ENM에 따르면 올해 2분기 티빙 매출은 1407억원으로 전년 동기 대비 41.4% 증가했다. 같은 기간 광고 매출도 52% 늘었으며 지난 6월 기준 월간활성이용자수(MAU)는 970만명을 넘어섰다.

업계 한 관계자는 "사안의 중대성을 감안해 모회사 대표까지 증인으로 채택된 것으로 보인다"면서도 "과거 국정감사에서도 계열사와 관련한 사안에 모회사 경영진을 함께 증인으로 부른 사례가 있었던 만큼 이례적인 일로만 보기는 어렵다"고 말했다.