[현장에서] 이제는 티빙을 믿을 수 있나

(서울=연합인포맥스) ○…사과했다. 재발방지 대책도 내놨다. 보안 투자와 인력도 늘린다. 그런데 지난 3일 티빙의 사이버 침해사고 간담회가 끝난 뒤 한 가지 질문이 남았다. 그래서 이제 티빙에 개인정보를 다시 맡겨도 되는 걸까.

과학기술정보통신부 산하 민관합동조사단 조사 결과에 따르면 티빙 침해사고로 티빙 이용자 계정 약 3천954만개와 소스 코드가 포함된 개발 프로젝트 361건이 외부로 유출됐다. 공격자는 개발자 접속키를 탈취한 뒤 소스 코드에 그대로 노출돼 있던 운영환경 접속키를 확보해 이용자 데이터베이스(DB)까지 접근했다고 조사됐다.

티빙이 개발·운영환경 접속키를 소스 코드 내부에 숨김 없이 그대로 노출(하드코딩)하거나 암호화 처리 없이 평문으로 저장했고, 사내 메신저 등을 통해 공유한 사실도 확인됐다.

이번 대규모 정보 유출의 원인은 기본적인 키 관리 체계 미비라고 조사단은 파악했다. 고객 입장에서는 왜 이런 기본적인 보안 관리가 작동하지 않았는지 의문일 수밖에 없다.

다만 이날 간담회에서 최주희 티빙 대표이사가 고객의 신뢰 회복을 위한 방법으로 꺼내든 것은 '콘텐츠'였다.

"고객과의 신뢰를 회복하고, 고객들이 다시 즐길 수 있는 데 가장 영향이 큰 것은 콘텐츠라고 생각합니다."

"콘텐츠 투자를 강화해 글로벌 확장을 도모하고 한국의 콘텐츠업에 재투자해 고객들께도 신뢰와 재미를 선사할 수 있도록 하겠습니다."

최주희 대표는 간담회 질의응답 시간에 이렇게 말했다. 콘텐츠 투자를 줄이지 않고 오히려 강화해 신뢰 회복에 나서겠다는 것이다. 지난 7월 월간활성이용자(MAU)가 일부 감소한 것에 대해서도 개인정보 유출과 무관하게 콘텐츠 영향이 컸다고 설명했고, 가을부터는 여러 콘텐츠 라인업과 야구 포스트시즌 등을 통해 이용자가 다시 오를 것이라고 기대한다고 했다.

신뢰 회복을 위한 보상안 역시 고객이 티빙과 다시 접점을 갖게 하는 데 초점이 맞춰졌다.

티빙은 해킹·피싱 안심보험과 5천 원 상당의 티빙 포인트, 엔터테인먼트 쿠폰 등을 보상책으로 내놨다. 안심보험은 사고 이후 발생할 수 있는 2차 피해에 대한 방어책이다. 티빙 포인트나 쿠폰 역시 콘텐츠를 이용하며 누릴 수 있는 혜택에 가까웠다. 개인정보가 유출된 탈퇴·휴면 고객도 보상 대상이지만 보상을 받기 위해서는 본인 확인을 위한 재등록 절차를 거쳐야 한다.

물론 콘텐츠는 국내 OTT 기업인 티빙의 본업이다. 좋은 콘텐츠가 이용자를 다시 티빙으로 끌어들이는 중요한 요소라는 데 이견은 없다. 보상안은 사고로 인한 불편과 피해를 줄일 수 있다.

하지만 정보유출 사고 이후 고객이 잃어버린 신뢰는 여기에만 있지 않다. 내 개인정보를 회사가 안전하게 지킬 수 있다는 믿음도 함께 흔들렸다.

티빙은 지난해 정보보호에 약 25억 원을 투자했고, 2024년과 지난해에는 모의해킹도 진행했다. 그럼에도 기본적인 키 관리체계에 문제가 발생했다. 이미 발견된 취약점도 제때 개선되지 않았다. 이에 대해 티빙은 "서비스가 성장하면서 일관성 있게 보안 규칙을 적용하는 데 미흡한 부분이 있었다"라고 인정했다.

티빙은 분명 많은 것을 약속했다. 정보보호 투자를 올해 추산한 약 30억 원 수준에서 이를 5년 뒤까지 100억~120억 원 수준으로 4배 늘리고 내부 보안 인력도 3배로 늘린다고 했다. 보안 거버넌스도 전면 개편한다. 제로트러스트 체계도 구축하고 최고경영자(CEO) 직속 자문위원회를 발족하는 등 구체적인 재발 방지책도 제시했다.

대책이 부족하다는 게 아니다. 이미 보안에 수십억 원을 투자하고 모의해킹까지 진행했는데도 기본적인 접속키 관리에서 문제가 발생했다면 고객은 회사가 앞으로 무엇을 할 것인가를 넘어 이번 사고를 통해 회사가 무엇을 돌아봤는지, 새롭게 내놓은 대책을 실제로 믿어도 되는 이유가 무엇인지 확인하고 싶을 수밖에 없다.

티빙의 사과 이후 남은 과제는 약속한 대책이 실제로 작동한다는 것을 보여주는 일이다. (산업부 정수인 기자)

sijung@yna.co.kr