티빙 첫 흑자 뒤 해킹 청구서…실제 비용은 얼마나

CI 중복 제거 계정 1천324만개…티빙은 피해고객 1천950만명 추정

보상가치 1인당 2만원…"실제 원가는 달라"

(서울=연합인포맥스) 윤영숙 기자 = 사상 첫 분기 흑자를 기록한 티빙이 대규모 개인정보 유출 사고에 따른 비용이라는 복병을 만났다.

정부 조사에서 확인된 유출 계정은 약 3천954만개에 달하지만 한 사람이 여러 계정을 보유한 사례가 많아 실제 피해 이용자 수는 이보다 크게 적다.

과학기술정보통신부에 따르면 본인인증 정보를 통해 중복을 제거할 수 있었던 이용자만 약 1천324만명에 이른다.

티빙이 밝힌 보상 패키지의 1인당 체감가치가 약 2만원이라는 점을 고려하면 명목상 보상 규모가 수천억원에 달하는 셈이다. 다만 회사 측은 이 금액이 실제 현금 지출이나 회계상 비용을 의미하는 것은 아니라고 선을 그었다.

◇ 3천954만 계정 유출…실제 피해자는 몇 명일까

4일 과기정통부 민관합동조사단에 따르면 이번 침해사고로 로그인이 가능한 활성 계정 2천206만개와 휴면·탈퇴 등 비활성 계정 1천737만개, 테스트 계정 11만개 등 총 3천954만697개 계정의 정보가 유출됐다.

다만 이 숫자에는 동일인의 복수 계정이 상당수 포함됐다. 조사 과정에서는 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.

정부가 실제 이용자 수를 확인할 수 있었던 것은 연계정보(CI)가 있는 계정이다.

CI는 본인인증 과정에서 생성되는 고유 식별값으로, 한 사람이 여러 계정을 갖고 있어도 동일인 여부를 확인할 수 있다.

전체 CI 보유 계정은 1천903만6천223개였지만 CI를 기준으로 중복을 제거하면 1천323만5천452개로 줄었다. 정부 조사만으로도 적어도 약 1천324만명의 서로 다른 이용자 정보가 유출된 것이 확인된 셈이다.

문제는 CI가 없는 약 2천40만개 계정이다.

이들 계정은 본인인증을 하지 않아 CI가 없고 성명이나 휴대전화번호, 이메일 주소 등이 누락되거나 실제 정보와 다른 사례도 상당수 있었다. 이에 따라 과기정통부는 이들 계정까지 포함한 전체 실제 피해자 수는 확정하지 못했다. 개인정보 세부 유출 규모는 개인정보보호위원회가 최종 확정할 예정이다.

이번 민관합동조사단에 참여한 한국인터넷진흥원(KISA) 관계자는 "일단 CI로 식별된 숫자는 1천300만개 정도된다. 다만 CI 값이 없는 정보들 중에서 중복되지 않은 값들이 있을 수도 있다"고 설명했다.

티빙은 자체적으로 중복을 최대한 제거한 전체 피해 이용자를 초기에 약 1천950만명으로 추산했으나 이마저도 개인정보보호위원회의 최종 판단을 기다려봐야한다는 입장이다.

◇ 체감가치로는 2천647억~3천900억원…실제 비용은 별개

이를 티빙이 밝힌 1인당 약 2만원의 보상 패키지 체감가치에 적용하면 규모가 상당하다.

정부가 CI를 통해 중복 제거를 완료한 1천323만5천452명만 기준으로 계산해도 약 2천647억원이다.

티빙이 자체 추산한 전체 피해자 약 1천950만명을 적용하면 약 3천900억원으로 늘어난다.

다만 이 숫자는 어디까지나 소비자가 받는 혜택의 명목상 가치다.

티빙은 보상 패키지 전체의 1인당 가치를 약 2만원으로 산정하고 있지만 실제 회사가 부담하는 비용과는 다르다고 설명했다.

보상안에는 현금성 혜택뿐 아니라 티빙 서비스 이용 과정에서 발생하는 원가성 혜택 등이 혼재돼 있고, 피해자가 실제로 보상을 신청하는 비율과 선택하는 옵션에 따라서도 회사의 부담이 달라진다.

티빙 측은 "1천950만명에 2만원을 전부 적용하는 것은 적정하지 않다"며 "소비자 체감 2만원이 재무적 부담 2만원은 아니다"라고 밝혔다.

실제 비용 규모가 가시화되면 관련 원가 등을 장부에 반영하고 추후 공시를 통해 확인할 수 있을 것이라고 설명했다.

따라서 2천647억~3천900억원을 티빙의 예상 손실이나 충당금으로 보는 것은 무리가 있다.

다만 피해자 수 자체가 1천만명 단위를 크게 넘어서는 만큼 실제 신청률과 보상 원가가 낮더라도 손익에 미치는 영향은 적지 않을 가능성이 있다.

◇ 첫 흑자 직후 비용 부담…보안투자도 확대

티빙은 지난 2분기 매출 1천407억원, 영업이익 60억원을 기록하며 2020년 독립법인 출범 이후 처음으로 분기 흑자를 냈다.

문제는 흑자 규모가 아직 크지 않다는 점이다.

보상 관련 비용이 수십억원 수준을 넘어설 경우 60억원 안팎인 직전 분기 영업이익을 빠르게 잠식할 수 있다.

티빙도 보상 패키지와 관련한 비용이 올해 실적에 반영될 가능성을 인정했다.

회사 측은 "올해 말까지 재무적인 임팩트가 있고 일정 부담이 있을 것으로 예상한다"며 실제 부담 규모는 보상에 응하는 이용자 수와 활성화 정도, 선택 옵션 등에 따라 달라진다고 밝혔다.

보안 투자 확대도 추가 비용 요인이다.

티빙은 지난해 약 25억원이던 정보보호 투자액을 올해 약 30억원으로 늘리고 향후 5년 안에 연간 100억~120억원 수준까지 확대할 방침이다.

내·외부를 합쳐 현재 9~10명 수준인 보안 전문 인력도 향후 25~30명 수준까지 늘린다. 올해 말까지 내부 정보보호 인력만 현재 4명에서 10명으로 확대해 외주 인력을 유지할 경우 전체 보안 인력은 15~16명 수준으로 늘어날 전망이다.

보상안과 별도로 향후 개인정보보호위원회의 제재나 법적 배상 책임이 확정될 경우 추가적인 비용이 발생할 가능성도 있다.

티빙은 이번에 내놓은 고객 보상안과 법적 배상 및 과징금은 별개라며 관련 책임이 법에 따라 결정되면 이를 부담하겠다는 입장이다.

ysyoon@yna.co.kr