[광화문=뉴스핌] 최문선 기자 = 국내 OTT 플랫폼 티빙이 개인정보 유출 사고와 관련해 공식 사과하고 보안 체계 전반을 근본적으로 재구축하겠다고 밝혔다. 정보보호 투자와 인력을 대폭 확대하는 한편, 제로 트러스트(Zero Trust) 기반의 보안 체계를 도입하고 고객 보상 방안도 마련했다.

티빙은 3일 서울 중구 코리아나호텔에서 최주희 대표이사를 비롯한 주요 경영진이 참석한 가운데 개인정보 유출 사고 관련 공식 사과 및 설명회를 열었다.

지난 6월 티빙은 해킹으로 이용자 개인정보가 유출된 사실을 알렸다. 이달 3일 과학기술정보통신부가 발표한 민관합동조사단의 최종 조사 결과에 따르면 공격자는 개발자가 보유하고 있던 접근키를 탈취해 티빙 내부 시스템에 침입했다. 이 과정에서 소스코드가 포함된 개발 프로젝트 361개와 이용자 계정 3954만개가 유출된 것으로 확인됐다.

유출된 계정은 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 110만개 등이다. 중복 계정이 포함된 수치로, 한 사람이 최대 13개의 계정을 보유한 경우도 있는 것으로 파악됐다.

가입 경로별로는 티빙 자체 가입 계정이 726만개, CJ ONE 통합 계정이 863만개, 네이버·카카오 등 소셜 로그인 계정이 2247만개였다.

유출된 정보는 아이디와 암호화된 비밀번호를 비롯해 이름, 생년월일, 휴대전화 번호, 이메일, CI(연계정보) 등 20개 항목, 70개 유형에 달했다. CI가 포함된 계정은 1904만개로 평균 11.1개의 정보가 유출됐으며, CI가 없는 계정 2040만개는 평균 4.6개의 정보가 유출된 것으로 조사됐다.

최주희 대표는 이날 고개를 숙여 사과했다. 최 대표는 "이번 침해 사고로 인해 고객 여러분께 큰 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"라며 "티빙을 믿고 이용해 고객 주신 여러분께 안전한 서비스를 제공해 드리지 못한 점에 대해 대표이사로서 무거운 책임을 느낀다"라고 밝혔다.

이어 "저희는 오늘 발표된 사이버 침해사고 민관합동조사단의 최종 조사 결과를 겸허히 받아들이며, 지적된 사항에 대한 필요한 모든 시정 조치와 재발 방지 대책을 책임감을 가지고 끝까지 이행하겠다"라고 강조했다.

티빙은 재발 방지를 위해 정보보호 투자 및 인력 확대, 제로 트러스트 기반 보안 체계 재구축, 보안 거버넌스 및 보안 문화 정립, 외부 협력을 통한 전문성 강화 등 4대 전략을 추진한다.

특히 정보보호 인력이 개발 규모에 비해 부족했던 점도 개선한다. 당시 티빙 전체 임직원은 265명, 개발인력은 149명이었지만 외주 인력을 제외한 정보보호 전담인력은 4명 내외에 그쳤다.

티빙은 현재 내부 정보보호 인력 4명에 외주 인력 5~6명을 더해 총 10명 안팎이 보안 업무를 담당하고 있다고 설명했다. 민관합동조사단이 발표한 4명은 외주 인력을 제외한 내부 전담인력만을 집계한 수치라는 설명이다.

티빙은 올해 연말까지 내부 정보보호 전담인력을 10명 수준으로 확대할 계획이다. 이후 정보보호 투자 규모와 내부 조직 개편 등을 종합적으로 검토해 추가적인 인력 확대 여부도 결정할 방침이다.

정보보호 투자 역시 대폭 늘린다. 티빙은 오는 2030년까지 정보보호 투자 규모를 기존 5년간 투자액의 약 4배 수준으로 확대하고, 향후 5년간 전문 인력을 3배가량 늘릴 계획이다.

보안 조직은 제품 보안, 클라우드 보안, 엔터프라이즈 IT 보안, 컴플라이언스 보안 등으로 세분화한다. 또한 제로 트러스트 원칙에 따라 인증과 접근 권한을 단계적으로 강화하고 최소 권한 원칙을 적용한다. 네트워크와 시스템을 분리해 개인정보 보호 수준을 높이는 동시에 AI 기반 지능형 탐지와 실시간 자동 대응 체계도 구축할 예정이다.

보안 거버넌스도 손본다. CEO-CISO-CPO 체계를 중심으로 실무 보안 협의체를 운영하고, 이슈 발굴부터 의사결정, 실행, 점검까지 이어지는 상시 대응 체계를 마련한다. 직무별 보안 교육과 모의훈련도 강화한다.

외부 전문가의 참여도 확대한다. 티빙은 대표이사 직속으로 외부 전문가들로 구성된 '정보보호혁신 자문위원회'를 신설해 객관적인 진단과 개선 방향을 지속적으로 검토할 계획이다.

사고 인지부터 관계기관 신고까지 발생한 시간 차이에 대해서도 설명했다. 조사 결과 티빙은 사고 인지 시점과 보고 시점의 차이로 24시간 이내 신고 과정에서 지연이 발생한 것으로 확인됐다.

최 대표는 "인지한 시간이 오전 10시, 경영진에게 보고가 돼서 TF가 발동했던 게 오후 3시"라며 "5시간의 갭이 있다"고 설명했다.

이어 "모두가 같이 대응할 수 있는 체계가 미흡하다고 느꼈다"며 "빠르게 전파하고 대응할 수 있는 거버넌스를 재편해서 대비할 예정"이라고 말했다.

고객 보상은 유출이 확인된 고객이라면 차등 없이 동일하게 제공한다. 보상 패키지는 해킹·피싱 보험 1년, 프리미엄 시청 환경 업그레이드, 티빙 포인트 5000원, 엔터테인먼트 쿠폰 등으로 구성된다.

해킹·피싱 보험은 1인당 최대 300만원까지 사이버 금융사기, 온라인 쇼핑 사기, 개인 간 거래 사기 등에 대한 보장을 제공한다. 프리미엄 시청 환경 업그레이드는 적용 대상 유료 요금제 가입자에게 자동으로 제공되며, 유료 구독자가 아닌 고객에게는 티빙 포인트 5000원이 지급된다.

엔터테인먼트 쿠폰은 웨이브 광고형 요금제(AVOD) 1개월 이용권 또는 CGV 콤보 3종 5000원 할인 쿠폰 중 하나를 선택할 수 있다. 보상 신청 기간은 오는 9월 7일부터 30일까지이며, 혜택은 10월 6일부터 적용된다. 전체 보상 규모는 1인당 약 2만원 상당으로 책정됐다.

최 대표는 보상안과 관련해 "보상안으로는 안심할 수 있는 것들을 드리고 싶었다"며 "티빙을 보시면서 가장 좋은 서비스를 누렸으면 좋겠다. 선택해서 누릴 수 있는 것을 드리고 싶었다"고 말했다.

이어 "우리 피해 보상과 직결되지 않아도 고객이 안심할 수 있는데에 기여할 수 있다고 생각해서 이 옵션을 선택했다"며 "전체 보상 밸류를 인당으로 환산하면 약 2만원을 예상한다"고 설명했다.

최근 티빙의 월간 활성이용자(MAU) 감소가 개인정보 유출 사고의 영향인지에 대해서는 선을 그었다.

최 대표는 티빙의 MAU 감소와 관련해 사고보다는 콘텐츠 영향이 크다고 봤다. 지난 6월에는 '취사병 전설이 되다', '유미의 세포들' 등 화제작이 있었지만, 7~8월에는 상대적으로 콘텐츠가 부족했고, KBO 경기의 우천 및 폭염 취소도 영향을 미쳤다는 설명이다. 가을 콘텐츠 라인업과 프로야구 포스트시즌을 통해 MAU가 다시 상승할 것으로 전망했다.

최 대표는 "티빙은 이번 일을 뼈아프게 새기고, 보안 체계 전반을 근본부터 재구축하겠다"며 "정보보호를 회사의 가장 중요한 책임이자 경쟁력으로 삼고 정보 보안 투자와 인력을 확대하겠다"고 강조했다.

이어 "무엇보다 고객의 신뢰를 회복하는 데 최선을 다하겠다. 고객 여러분께서 안심하고 서비스를 이용하실 수 있는 환경을 만들겠다"고 덧붙였다.

moonddo00@newspim.com