'마음의 위안'으론 부족···3954만 계정 유출 티빙 '뭇매'(종합)

최주희 티빙 대표이사가 6일 오후 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 과학기술정보통신부·우정사업본부·국립전파연구원 등에 대한 국정감사에 증인으로 출석해 의원의 질의에 답변하기 위해 발언대로 향하고 있다. 사진=강민석 기자

최주희 티빙 대표가 대규모 개인정보 유출 사고로 국정감사에 출석한 가운데 미흡한 보안 관리와 피해 보상안을 둘러싼 여당 의원들의 집중 추궁이 이어졌다.

최 대표가 피해 고객에게 "마음의 위안"을 주기 위해 포인트와 쿠폰 등을 지급했다고 설명했지만, 정작 실질적인 피해 구제책으로는 미흡하다는 질타가 쏟아졌다. 또 최근 5년간 티빙의 매출액이 26배가량 성장한 데 비해 정보보호 전담인력은 4명에 불과한 것으로 나타나면서 부실한 정보보호 투자도 도마 위에 올랐다.

최 대표는 6일 국회 과학기술정보방송통신위원회 국정감사에 증인으로 출석해 티빙 해킹 사고와 관련한 이정헌 더불어민주당 의원의 질의에 "책임자로서 국민들께 송구하다"며 "저희가 그간 보안에 조금 소홀했음을 여실히 느꼈다"고 말했다.

이 의원은 이날 최 대표를 비롯해 김정훈 우아한형제들 정보보호최고책임자(CISO), 임한욱 토스페이먼츠 대표, 홍승일 힐링페이퍼 대표, 박수경 듀오 대표 등 5명을 한꺼번에 불러 세우고 개인정보 보호 및 보안 관리 실태를 집중 질타했다.

특히 티빙에서 약 3954만개 계정 정보가 유출된 점을 지적하며 보안 관리 체계의 문제를 짚었다. 개발자 접속키가 소스코드에 암호화되지 않은 채 저장돼 있었던 점과 해커가 가상서버를 이용해 대량의 데이터를 빼내는 동안 이를 탐지하지 못한 점 등을 문제 삼았다.

해킹 사고 이후 티빙의 보상책도 도마 위에 올랐다. 이 의원은 최 대표에게 "제대로 된 보상 및 사후 대책을 마련해야 한다"며 구체적인 이용자 보상 방안을 요구했다.

최 대표는 "피해를 당하신 고객님들께 조금이라도 마음의 위안을 드릴 수 있을까 해 피싱 예방보험과 함께 여러 가지 다양한 엔터테인먼트를 이용할 수 있는 포인트 및 쿠폰을 지급한 바 있다"고 설명했다.

이에 이 의원은 "구체적으로 말씀하시라. 마음의 위로가 아니고"라고 지적하며 보상책의 실효성을 따져 물었다.

최 대표도 기존 보상책이 충분하지 않을 수 있다는 점을 인정했다. 그는 "국민들의 눈높이에 부족한 부분이 있다"면서 "앞으로 재발 방지를 하고 반드시 다시는 이런 일이 생기지 않도록 제가 꼭 책임지고 회사를 글로벌 보안 수준으로 거듭나도록 챙기겠다"고 강조했다.

티빙의 급격한 외형 성장에 비해 정보보호 인력과 투자가 이를 따라가지 못했다는 지적도 나왔다.

이훈기 더불어민주당 의원은 티빙이 과거 모의해킹 과정에서 하드코딩 관련 취약점을 지적받았음에도 이를 전반적으로 해소하지 못했다는 점을 문제 삼았다.

이 의원은 "모의해킹 당시 하드코딩 취약점이 발견돼 문제가 있으니 개선하라는 지적을 받았는데 티빙에서 전반적인 하드코딩 위험을 완전히 제거하지 않았다"며 "그래서 이런 사고가 났다고 본다"고 지적했다.

최 대표는 "위원님 말씀하신 바가 맞다"면서 "당시 지적된 프로젝트에 한해서는 개선했지만 좀 더 본질적인 프로세스나 시스템을 개선할 수 있도록 하겠다"고 답했다.

특히 티빙의 매출은 최근 5년간 155억원에서 4068억원으로 26.2배 증가한 반면 정보보호 전담인력은 4명에 그친 것으로 나타났다.

이 의원은 "이렇게 급성장했는데 정보보호 전담인력은 4명밖에 안 된다"며 "보안 투자도 상당히 소홀히 하고 있다. 돈만 많이 벌고 성장만 하고 있지 정보 유출에 상당히 노출돼 있다"고 질타했다.

최 대표는 "작은 기업에서 커가면서 정보보호 투자액이 늘어난 것은 맞지만 제가 충분한지 미처 살펴보지 못했다"며 "앞으로 인력이나 투자액을 늘려 제로트러스트 기반의 글로벌 수준 보안으로 끌어올리도록 총력을 다할 것"이라고 말했다.

이에 이 의원은 "매출액이 26배나 성장했는데 너무나 소홀히 한 것 같다"며 "사고가 안 날 수가 없었다고 본다"고 재차 지적했다.

대규모 개인정보 유출 사고 이후 티빙의 대응을 둘러싼 질타도 이어졌다. 국회의 자료 제출 요구에 티빙이 제대로 응하지 않고 있다는 지적이다.

황정아 더불어민주당 의원은 최 대표를 상대로 티빙의 자료 제출 문제를 집중 추궁했다.

황 의원은 "티빙이 심각한데 티빙만 자료 제출을 거부하고 있다"며 "역대 최대 탈취인데 조사 중인 사안이라고 제출하지 않겠다고 한다"고 지적했다.

그러면서 "대기업이 중소기업들보다 못한 대응을 하고 있다"며 "숨기고 가린다고밖에 볼 수 없는데 그렇지 않느냐"고 질타했다.

최 대표는 "아직 저희가 개인정보보호위원회의 조사를 받고 있는 상황이라 확정되지 않은 숫자를 제공하지 못한 것 같다"며 "제가 좀 더 실무를 챙겨 필요한 자료들을 따로 보고드릴 수 있도록 하겠다"고 해명했다.

황 의원은 개인정보 침해 사고에 적극적으로 대응하는 기업에는 정부 지원을 확대하는 한편 자료 제출 등에 소극적인 기업에는 강력한 제재가 필요하다고 주장했다.

그는 "중소기업들이 혼자서 막을 수 없다"며 "조사에 적극 협조하는 기업들은 보안 컨설팅을 하고 AI 지원도 해줘야 할 것 같다"고 말했다.

이어 "반대로 티빙처럼 숨기고 가리려 하는 기업에 대해서는 징벌적 제재도 가해져야 한다고 본다"며 AI 보안산업 육성을 범국가적 과제로 추진할 필요가 있다고 강조했다.

이에 배경훈 과학기술정보통신부 장관은 자료 제출 불이행과 침해사고 미대응 등을 언급하며 "자료 제출 거부 등 침해사건을 은폐하려는 기업에 대해서는 엄정하게 대응할 필요가 있다고 본다"고 밝혔다.