"보상인가, 마케팅인가"···티빙 보상안에 여야 질타

2024년 보안 취약점 인지하고도 방치 지적

재가입 유도·계열사 쿠폰에 보상 실효성 논란

개보위 "연내 처분 목표"···과징금 감경 도마

최주희 티빙 대표이사가 13일 오후 서울 여의도 국회 정무위원회에서 열린 국무조정실 등에 대한 국정감사에 증인으로 출석해 의원의 질의를 경청하고 있다. 사진=강민석 기자

대규모 개인정보 유출 사고를 일으킨 티빙이 국정감사에서 여야 의원들의 집중 질타를 받았다. 과거 확인된 보안 취약점을 제대로 개선하지 않았다는 지적부터 피해자 보상안이 자사 서비스 이용을 유도하기 위한 '꼼수'에 불과하다는 비판까지 쏟아졌다.

13일 국회 정무위원회의 개인정보보호위원회 국정감사에서는 일반증인으로 출석한 최주희 티빙 대표를 상대로 개인정보 유출 사고의 원인과 사후 대응의 적절성을 묻는 질의가 이어졌다. 더불어민주당과 국민의힘은 물론 사회민주당까지 가세하면서 여야를 막론하고 티빙의 보안 관리 체계와 피해 보상 방식을 문제 삼았다.

이날 의원들은 3954만개에 달하는 계정 정보가 유출된 사고의 규모뿐 아니라 티빙이 사전에 보안 취약점을 인지하고도 충분한 조치를 취하지 않았다는 점을 집중적으로 지적했다.

이강일 더불어민주당 의원은 "2024년부터 취약점을 알고 있었는데도 제대로 조치하지 않았고 2년도 안 지나 대규모 사고가 터졌다"며 시스템 접속키가 암호화되지 않은 채 소스코드에 포함돼 있었던 문제를 지적했다. 그는 "대문을 잠그고 대문 키를 옆에 올려놓은 것 아니냐"며 보안 관리의 허술함을 질타했다.

박성훈 국민의힘 의원 역시 "이 문제의 핵심은 2024년 모의해킹 과정에서 보안 취약점을 발견하고도 방치한 회사에 있다"고 지적했다.

이에 최 대표는 보안 투자와 관련해 경영진의 관리가 미흡했다는 점을 인정했다. 그는 "보안에 지속적으로 투자해 왔지만 CEO인 제가 충분한 수준인지 우선순위를 두고 챙기지 못했다"고 말했다. 다만 최초 침입 경로에 대해서는 아직 원인이 밝혀지지 않았으며 경찰이 수사 중이라고 설명했다.

조정훈 국민의힘 의원이 인공지능(AI)을 활용한 해킹 가능성을 묻자 최 대표는 "그렇게 추정하고 있다"고 답했다.

탈퇴 회원의 개인정보 보관 문제도 도마에 올랐다. 한창민 사회민주당 의원은 "티빙의 개인정보 처리방침을 확인해보면 탈퇴한지 5일이 지나면 원래 다 폐기해야 한다"며 "근데 탈퇴한 회원의 개인정보가 이번에 유출된 것만 887만개"라고 비판했다. 이에 최 대표는 "전자거래법상 탈퇴 후에 5년간 보호하는 계정이 훨씬 더 크다"고 해명했다.

보안 관리 문제와 함께 가장 집중적으로 제기된 쟁점은 피해 보상안의 실효성이었다. 티빙은 피해자에게 1년짜리 안심보험과 프리미엄 이용권 업그레이드, 티빙 포인트, CGV 할인 쿠폰 등으로 구성된 1인당 약 2만원 상당의 보상안을 제시했다. 그러나 의원들은 실제 피해 회복 효과가 제한적인 데다 일부 혜택은 추가 결제나 서비스 이용을 전제로 한다고 비판했다.

김현정 더불어민주당 의원은 "개인정보 유출 사고를 치고 보상은 마케팅으로 활용하는 것 아니냐"며 보상안의 적절성을 문제 삼았다. 특히 안심보험은 2차 금융사기 피해가 발생해야 보상받을 수 있는 조건부 상품이고 프리미엄 이용권 업그레이드 역시 기존 유료 이용자 일부에게만 적용된다 점을 지적했다.

박성훈 의원도 "사고는 회사가 쳤는데 피해를 입은 국민이 직접 보상을 신청해야 한다"며 "보상안이 오히려 자사 매출과 서비스 이용을 늘리는 판촉 수단으로 악용되고 있다는 지적을 민감하게 받아들여야 한다"고 말했다.

박민규 더불어민주당 의원은 탈퇴 회원이 보상을 받기 위해 다시 회원 가입을 해야 하는 구조를 문제 삼으며 "계열사 상품 끼워팔기이자 티빙 재이용을 유도하는 마케팅이지 어떻게 보상이냐"고 비판했다.

이른바 '온라인 주민번호' 연계정보(CI)가 유출된 부분에 대한 언급도 나왔다. 이강일 의원은 "평생 따라다닐 CI가 털렸는데 겨우 1년 짜리 보험 가지고 되겠냐"며 "앞서 회사는 적자가 심해 힘들고 이정도 밖에 못한다 답했는데 티빙이 구멍가게도 아니고 무책임하고 능력이 없으면 문을 닫는게 고객들한테 더 좋은거 아니냐"고 강도 높게 지적했다.

한창민 의원은 보상 비용 산정 방식에도 의문을 제기했다. 그는 티빙이 1인당 약 2만원의 보상을 제공해 총 3906억원 수준의 비용이 발생하는 것처럼 자료를 제출했지만, 실제로는 보상 대상과 이용권 종류에 따라 혜택이 달라 일률적으로 계산할 수 없다고 지적했다. 또 9월 말 기준 보상 신청자가 약 275만명에 그쳤다는 점을 들어 보상 규모가 과장됐다는 의혹을 제기했다.

최 대표는 이 같은 지적에 "송구하게 생각한다"고 답했다.

김현정 의원은 티빙의 보상 신청 기간 연장이 향후 과징금 감경에 활용될 가능성도 제기했다. 티빙은 당초 9월 30일까지였던 보상 신청 기간을 만료 하루 전날 10월 말까지로 한 달 연장했다. 그러나 9월 말 기준 추정 피해자 1953만명 가운데 보상을 신청한 인원은 약 275만명으로, 신청률은 14.1%에 그쳤다.

김현정 의원은 개인정보보호법상 피해 회복 노력이 과징금 감경 사유로 고려될 수 있다는 점을 언급하며 "기만적 상술과 꼼수 기간 연장이 자발적 피해 회복 노력이라는 이름으로 둔갑해 과징금을 단 1원이라도 깎아주는 빌미가 돼서는 안 된다"고 강조했다.

개보위의 제재 시점과 수위에 대한 질의도 이어졌다. 송경희 개인정보보호위원장은 김현정 의원이 티빙에 대한 과징금 부과 시점을 묻는 질문에 "연내에 처분을 마무리하려고 노력하고 있다"고 답했다.

김현정 의원은 추가적인 실질 보상안이 마련되지 않을 경우 법이 허용하는 최고 수준의 과징금과 제재를 내려야 한다고 촉구했다.

이에 송 위원장은 "개보위는 합의제로 이뤄지기 때문에 여러 위원들 간 숙의를 거쳐 결정하겠다"며 "실효적 보상안이 되지 않는다면 피해 보상을 했다는 이유로 감안하기는 쉽지 않아 보인다"고 말했다.

그러면서도 "보상이 적다고 해서 전혀 고려하지 않는다면 비슷한 사고가 발생했을 때 다른 기업들이 보상할 유인이 적어질 수 있다"며 실제 피해 회복 효과 등을 종합적으로 살펴보겠다는 입장을 밝혔다.

티빙을 넘어 모기업인 CJ그룹 차원의 책임을 따져야 한다는 주장도 나왔다.

한민수 더불어민주당 의원은 CJ ONE 통합회원 계정 가운데 863만개가 이번 사고로 유출됐다는 점을 거론하며 "고객을 모을 때는 하나의 CJ이고 정보가 유출되면 별개 회사냐"고 비판했다.

그는 CJ그룹이 통합회원 체계를 통해 계열사 간 고객 기반을 공유해 온 만큼 사고 대응과 피해 보상 역시 티빙에만 맡겨서는 안 된다고 주장했다. 아울러 CJ올리브네트웍스와 지주사 CJ 등 관계사의 정보 관리 및 사고 대응 과정에서의 역할을 조사해야 한다고 요구했다.

최 대표는 CJ그룹 차원에서도 보안 문제를 엄중하게 받아들이고 있으며 전 계열사 보안 점검 등을 실시했다고 설명했다.

한편 이날 국감은 최 대표가 지난 6일 과학기술정보방송통신위원회와 7일 문화체육관광위원회에 이어 세 번째로 증인석에 선 자리다. 앞선 국감에서도 보안 관리 소홀과 피해 보상안의 적절성이 쟁점으로 제기된 바 있다.