네이버·카카오 간편로그인·KT 보상 이용권 고객 41만6000여명도 피해
유료회원 약 4배·MAU 두 배 웃돌아…탈퇴·장기 미이용 계정 보유 여부 조사
최주희 티빙 대표
[더파워 이경호 기자] 최주희 티빙 대표가 개인정보 유출 사고에 대해 “진행 상황과 후속 조치를 투명하게 알리겠다”며 “끝까지 책임지겠다”고 약속한 지 한 달이 넘었다. 그러나 현재까지 파악된 유출 대상 1953만명이 어떤 계정으로 구성됐는지는 여전히 공개되지 않았다.
네이버·카카오 간편로그인 이용자와 KT 제휴 이용권 고객까지 유출 대상에 포함된 것으로 확인된 가운데 정부는 탈퇴·장기 미이용 계정과 중복 계정의 포함 여부, 제휴 채널별 피해 범위 등을 조사하고 있다.
15일 국회와 관련 업계에 따르면 국회 과학기술정보방송통신위원회 소속 이정헌 더불어민주당 의원실이 과학기술정보통신부와 개인정보보호위원회로부터 제출받아 전날 공개한 자료에는 플랫폼·통신사 등 제휴 채널을 통해 티빙을 이용한 고객도 개인정보 유출 대상에 포함된 것으로 나타났다.
네이버와 카카오 계정으로 티빙에 간편로그인한 회원의 경우 연동 과정에서 티빙에 전송·저장된 이름과 이메일, 휴대전화번호 등 개인정보가 연동 계정 아이디와 함께 유출된 것으로 파악됐다.
이번 사고는 네이버·카카오 자체 시스템에서 개인정보가 빠져나간 것이 아니라 티빙에 보관된 연동 가입자 정보가 유출된 사안이다. 네이버 계정 비밀번호처럼 티빙 가입 과정에서 제공하지 않은 정보는 유출 대상에 포함되지 않은 것으로 전해졌다.
지난해 KT 개인정보 유출 사고의 보상으로 티빙 이용권을 선택한 고객도 다시 개인정보 유출 피해를 입었다. KT 고객보답 프로그램에서 티빙 이용권을 선택한 58만6000여명 가운데 실제 이용권을 등록해 서비스를 이용한 41만6000여명의 개인정보가 이번 유출 대상에 포함됐다.
KT가 고객 정보를 티빙에 직접 넘긴 것은 아니지만 이용권을 사용하려면 티빙에 가입하고 본인인증 절차를 거쳐야 했다. 이 과정에서 이용자의 이름과 휴대전화번호, 계정 정보 등이 티빙 시스템에 저장된 것으로 파악됐다.
티빙은 SK텔레콤과 LG유플러스의 통신 결합·구독 상품, SSG닷컴과 디즈니플러스 등 다양한 제휴 채널을 통해 가입한 회원의 본인인증 정보도 보유하고 있다. 다만 이들 제휴 채널 가입자의 유출 여부와 채널별 피해 규모는 현재까지 공개되지 않았다.
정부가 지난 6월 22일까지 파악한 티빙 개인정보 유출 대상은 1953만명이다. 사고 초기 잠정 집계된 1300만명보다 650만명 이상 증가했다.
현재까지 알려진 국내 개인정보 유출 사고 가운데 쿠팡 약 3756만명, 네이트·싸이월드 약 3500만명, SK텔레콤 약 2324만명에 이어 네 번째로 큰 규모다. 다만 민관합동조사단의 조사가 진행 중인 만큼 최종 유출 규모와 범위는 확정되지 않았다.
유출 정보도 단순 연락처에 그치지 않았다. 국회에 제출된 자료에는 아이디와 이름, 생년월일, 비밀번호, 환불 계좌번호를 비롯해 연계정보(CI)와 중복가입확인정보(DI) 등이 포함된 것으로 기재됐다.
CI와 DI는 온라인 본인확인 과정에서 개인을 식별하는 데 사용되는 정보로, 일반적인 비밀번호처럼 이용자가 쉽게 변경하기 어렵다. 다른 개인정보와 결합될 경우 명의도용 등 2차 피해로 이어질 수 있다는 우려도 제기된다.
1953만명이라는 숫자는 티빙의 현재 이용 규모와도 큰 차이를 보인다. 티빙의 유료 가입자는 업계 추산 약 500만명이며 지난 5월 월간활성이용자(MAU)는 약 882만명이다. 현재까지 파악된 유출 대상은 유료 가입자의 약 4배, 월간 이용자의 두 배를 웃돈다.
제휴 가입자가 유출 대상에 포함된 사실은 확인됐지만 전체 1953만명의 계정 유형별 구성은 드러나지 않았다. 공개된 정부와 국회 자료만으로는 중복 계정이 얼마나 포함됐는지, 탈퇴회원과 장기 미이용자 정보가 각각 몇 건인지 확인하기 어렵다.
정부는 유출 규모가 티빙의 유료회원과 월간 이용자 수를 크게 웃도는 배경을 조사하고 있다. 탈퇴·휴면 계정과 제휴 계정, 중복 계정의 포함 여부와 실제 유출 범위도 조사 대상에 올라 있다.
다만 장기간 서비스를 이용하지 않았다는 이유만으로 개인정보 파기의무 위반이 곧바로 성립하는 것은 아니다. 개인정보 보호법 제21조는 보유기간이 지났거나 처리 목적이 달성되는 등 개인정보가 불필요해졌을 때 지체 없이 파기하도록 규정한다.
다른 법령에 따라 보존할 필요가 있다면 해당 개인정보를 다른 정보와 분리해 저장·관리해야 한다. 티빙이 보유기간이나 처리 목적이 끝난 개인정보를 계속 보관했는지가 향후 조사에서 확인돼야 할 쟁점이다.
최주희 대표는 지난 6월 3일 사과문을 내고 “이용자 여러분께서 믿고 맡겨주신 정보를 지켜드리지 못했으며 그 책임은 전적으로 티빙에 있다”고 밝혔다.
최 대표는 “진행 상황과 후속 조치는 투명하게 알려드리겠다”며 “영향을 받은 이용자들에게 개별적으로 안내하고 피해 구제와 이용자 보호를 위해 끝까지 책임지겠다”고 전했다.
티빙은 이에 앞선 6월 1일 과기정통부에 침해사고를 신고했다. 개인정보위에는 6월 3일 오전 2시께 개인정보 유출 신고가 접수됐다. 과기정통부는 이번 사고를 중대한 침해사고로 판단해 민관합동조사단을 구성했다.
사고 인지 시점을 둘러싼 신고 내용도 일치하지 않았다. 이 의원실이 공개한 자료에 따르면 과기정통부 신고서에는 사고 인지 시점이 5월 31일 오후 3시 9분으로 적혔지만 개인정보위 신고서에는 하루 전인 5월 30일 오후 4시 30분으로 기재됐다.
티빙은 이후 6월 2일 오전 6시 18분 개인정보 데이터베이스 저장 파일이 외부로 전송된 사실을 확인했다고 신고서에 적었다. 정부는 두 신고서의 사고 인지 시점이 다르게 기재된 경위와 초기 대응 과정의 적정성을 조사하고 있다.
최근 대규모 개인정보 유출 사고에 대한 제재 사례로는 쿠팡이 있다. 개인정보위 조사 결과 쿠팡에서는 회원 3322만여명과 배송지에 등록된 가족·지인 등 비회원 최소 433만여명을 합쳐 약 3756만명의 개인정보가 유출됐다.
개인정보위는 쿠팡이 인증 서명키와 접근권한을 제대로 관리하지 않았고, 관련 권한을 보유했던 직원이 퇴사한 뒤에도 인증키를 즉시 교체하거나 폐기하지 않은 사실을 확인했다.
추가 유출 대상자에 대한 통지가 법정 기한보다 늦게 이뤄지거나 비회원 정보주체에게 유출 사실이 통지되지 않았고, 탈퇴회원의 배송지와 계좌번호 등 일부 개인정보를 규정에 따라 파기하지 않은 사실도 적발됐다.
개인정보위는 쿠팡의 개인정보 유출 및 안전조치의무 위반에 과징금 4235억7500만원을 부과하고, 유출 통지와 파기의무 위반 등에 과태료 1680만원을 결정했다.
회원 약 1117만명의 타사 웹·앱 활동기록을 적법한 근거 없이 수집한 행위에는 별도로 과징금 2011억600만원이 부과됐다. 쿠팡에 부과된 전체 과징금은 6246억8100만원으로 역대 최대 규모다.
쿠팡에서 확인된 법 위반이 티빙에도 동일하게 적용된다고 현 단계에서 단정할 수는 없다. 정부는 티빙의 외부 침입 경로와 접근통제 등 안전조치 이행 여부, 유출 대상의 계정 유형과 중복 여부, 제휴 계정의 범위, 탈퇴·장기 미이용 회원 정보의 보유·파기 실태 등을 조사하고 있다.
