[로이슈 심준보 기자] 티빙 최주희 대표가 3954만개 계정의 개인정보 유출 사고 이후 내놓은 보상안이 피해 회복보다 자사 서비스 이용을 유도하는 판촉 수단에 가깝다는 비판을 받고 있다. 금융업계에 따르면이 아니라 국회 정무위원회 국정감사에서 김현정 더불어민주당 의원이 공개한 자료를 보면, 1차 보상 신청률은 추정 피해자의 14.1%에 그쳤고 티빙은 신청 마감 하루 전 기한을 10월 30일까지 연장했다. 개인정보 유출로 이탈한 고객에게 재가입을 요구하는 보상 구조와 과징금 감경 가능성이 맞물리면서 피해 회복의 실효성과 경영진의 책임을 둘러싼 논란이 커지고 있다.

이번 사고는 단순한 계정 정보 유출에 그치지 않았다. 과학기술정보통신부 민관합동조사단이 9월 3일 발표한 조사 결과에 따르면 유출 규모는 중복을 포함해 3954만개 계정으로 집계됐다. 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개가 포함됐다. 추정 피해자는 1953만명이다.

공격자는 5월 29일 개발자 접근키를 탈취해 개발 환경에 침입했다. 다음 날 데이터베이스에서 이상 부하가 발생했고, 티빙은 31일 오전 10시10분 침해 사실을 인지했다. 이후 6월 1일 오후 3시8분 한국인터넷진흥원(KISA)에 신고했다. 침해 인지부터 신고까지 28시간58분이 걸려 24시간 기준을 4시간58분 넘겼다. 관련 법령상 신고 의무 위반에 따른 과태료 부과 가능성이 제기되는 대목이다.

유출 정보에는 이름과 생년월일, 전화번호, 이메일, 연계정보(CI) 등 약 70종이 포함됐다. 전화번호와 이메일 일부는 암호화돼 있었지만 복호화 키까지 함께 유출돼 정보 보호 효과가 제한됐다는 지적이 나왔다. 추천·인증·결제 관련 소스코드를 포함한 개발 프로젝트 361건도 유출된 것으로 조사됐다. 개인정보보호위원회는 개인정보 보호법 위반 여부와 과징금 부과를 별도로 검토하고 있다.

문제는 사고 이후 피해자에게 제시된 보상 방식이다. 티빙은 5000원 상당의 포인트, 1년간 해킹·피싱 보험, 유료 구독 계정에 대한 프리미엄 화질 제공, 웨이브 광고형 요금제 1개월 이용권 또는 CGV 쿠폰 등을 묶어 보상안을 마련했다. 현금 배상은 포함되지 않았다.

김현정 의원은 13일 국회 정무위원회 국정감사에서 5000원 상당의 포인트만으로는 최신 콘텐츠를 이용하기 어려워 소비자가 추가 비용을 부담할 수 있다며 보상안의 실효성을 문제 삼았다. 피해자가 실제로 입은 손해를 직접 보전하기보다 추가 결제나 제휴 서비스 이용을 유도하는 구조라는 비판이다.

웨이브와 CGV 이용권을 포함한 구성도 논란의 대상이 됐다. 웨이브는 티빙과 합병을 추진해 온 플랫폼이고, CGV는 CJ 계열사다. 피해 보상에 사용되는 혜택이 관련 서비스의 이용으로 이어질 수 있다는 점에서 김 의원은 이를 피해 회복보다 계열 서비스 이용을 유도하는 ‘보상판촉’이라고 비판했다.

탈퇴 회원에게는 재가입이라는 추가 조건이 붙는다. 개인정보 유출을 이유로 서비스를 떠난 피해자도 일부 보상을 받으려면 다시 가입하고 로그인해야 한다. 개인정보 보호를 위해 서비스를 이탈한 이용자에게 같은 사업자에게 개인정보를 다시 제공하도록 요구하는 셈이다. 개인정보 보호법 제16조의 개인정보 최소수집 원칙에 저촉될 소지가 있는지 검토가 필요한 이유다. 다만 실제 위반 여부는 보상 신청 과정에서 수집하는 정보의 범위와 처리 목적, 법적 근거 등을 확인해 판단해야 한다.

김 의원은 최 대표에게 증인 본인의 개인정보가 유출된 서비스라면 쿠폰을 받기 위해 다시 가입하겠느냐는 취지로 질의했다. 보상안을 이용자가 실제로 수용할 수 있는지, 피해 회복이라는 목적에 부합하는지 경영진이 설명해야 한다는 문제 제기다.

신청률은 보상안의 실효성을 둘러싼 논란을 수치로 드러냈다. 김 의원이 공개한 자료에 따르면 1차 신청 기간에 보상을 신청한 사람은 275만2030명이다. 추정 피해자 1953만명 대비 14.1%이며, 유출 계정 3954만개를 기준으로 계산하면 약 7.0%다. 사람과 계정은 집계 단위가 다르므로 두 비율을 같은 의미로 해석할 수는 없지만, 추정 피해자 규모에 비해 신청자가 제한적이었다는 점은 확인된다.

티빙은 신청 마감 하루 전 보상 신청 기한을 10월 30일까지 연장했다. 김 의원은 낮은 신청률로 피해 회복 조치의 실효성을 인정받기 어려워지자 과징금 감경을 염두에 두고 신청 기간을 늘린 것 아니냐는 의혹을 제기했다. 이는 의원 측의 문제 제기이며, 티빙이 실제로 감경을 목적으로 기한을 연장했는지는 확인되지 않았다.

과징금 감경 가능성은 이 논란의 핵심 쟁점이다. 개인정보보호위원회의 ‘개인정보 보호법 위반에 대한 과징금 부과기준’은 일정한 피해 회복 조치를 이행한 경우 과징금을 감경할 수 있도록 규정하고 있다. 현행 기준상 피해 회복 조치에 따른 감경 한도는 조정된 금액의 30% 이하다. 그러나 보상안을 발표하거나 신청 기간을 연장했다는 사실만으로 감경 요건이 자동 충족되는 것은 아니다. 실제 피해 회복의 내용과 범위, 이행 여부가 판단 대상이다.

보상 비용도 신청률에 따라 달라진다. 추정 피해자 1953만명 전원이 5000원 상당의 포인트를 받는다고 가정하면 액면 기준 총액은 약 976억5000만원이다. 실제 1차 신청자 275만2030명에게 같은 포인트를 지급한다고 가정하면 약 137억6000만원이다. 이는 포인트 액면가만을 단순 계산한 수치로, 보험과 제휴 쿠폰 등 다른 보상 항목의 실제 비용이나 회사의 회계상 부담을 뜻하지는 않는다. 다만 신청률이 낮으면 포인트 지급 규모도 줄어드는 구조라는 점에서 보상안의 실질적인 비용과 피해자에게 돌아가는 혜택을 함께 살펴볼 필요가 있다.

보안 투자와 경영진의 해명 사이에서도 의문이 제기된다. 티빙의 올해 보안 예산은 약 30억원으로, 지난해 약 25억원보다 20% 늘어난 것으로 제시됐다. 반면 한국프로야구(KBO) 중계권 비용은 2024년 계약 당시 3년 총 1350억원, 연간 450억원 수준에서 올해 5년 약 4500억원으로 추정되는 계약 규모를 기준으로 연간 약 900억원까지 늘어난 것으로 알려졌다. 중계권료가 추정치라는 점을 감안하더라도 연간 비용을 단순 비교하면 보안 예산은 중계권료의 약 3.3%에 해당한다.

보안 전담 인력은 약 4명으로, 개발자 149명과 비교하면 약 37명당 1명 수준이다. 2024년 모의해킹에서 접근키가 평문으로 노출되는 문제가 지적됐지만 개선되지 않았다는 내용도 사고 원인과 관리 체계를 둘러싼 쟁점으로 제기됐다. 보안 예산의 절대 규모만으로 투자 적정성을 단정할 수는 없지만, 대규모 개인정보를 보유한 플랫폼에서 접근키 관리와 이상 조회 탐지, 취약점 개선이 제대로 이뤄졌는지는 별도로 확인해야 한다.

최 대표는 10월 7일 국회 문화체육관광위원회 국정감사에서 티빙을 “굉장히 큰 적자 법인”이라고 설명하며 형편에 맞는 최선을 다했다는 취지로 말했다. 그러나 티빙은 올해 2분기 매출 1407억원, 영업이익 60억원을 기록하며 출범 이후 첫 분기 흑자를 냈다. 과거 누적 적자와 특정 분기의 흑자는 동시에 성립할 수 있으므로 두 수치가 곧바로 모순되는 것은 아니다. 다만 현재의 수익성 개선과 보안 투자 여력, 피해 보상 규모를 어떤 기준으로 판단했는지는 경영진이 구체적으로 설명할 필요가 있다.

피해자의 이중 피해도 확인됐다. KT 해킹 보상으로 티빙을 선택해 가입하거나 연동한 계정 약 52만7000개도 유출된 것으로 알려졌다. 이 계정은 앞서 발표된 3954만개 계정 집계와 별도로 제시됐다. 다른 기업의 개인정보 유출 보상으로 서비스를 이용한 계정이 다시 유출된 사례라는 점에서, 플랫폼 간 제휴와 계정 연동 과정에서 개인정보 보호 책임이 어떻게 관리됐는지도 쟁점이다. 피해 보상을 위해 재가입을 요구하는 이번 구조와 맞물려 이용자의 신뢰를 회복할 수 있는 방식인지 의문이 남는다. 이 역시 피해 회복보다 서비스 이용을 앞세운 ‘보상판촉’ 논란을 키우는 대목이다.

개인정보 보호법 제29조는 개인정보처리자에게 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 조치를 요구한다. 접근키 관리 미흡, 대량 조회에 대한 실시간 탐지 부재, 모의해킹에서 발견된 취약점의 미조치가 조사 결과로 확인된다면 안전조치의무 위반에 저촉될 소지가 있다. 다만 구체적인 위반 여부와 과징금 규모는 개인정보보호위원회의 조사 및 처분을 통해 확정돼야 한다.

비교 사례로 거론되는 SK텔레콤의 개인정보 유출 과징금은 1347억9000만원이다. 그러나 사업 규모와 위반 내용, 피해 범위, 적용 법령과 처분 시점이 다를 수 있어 과징금 액수만으로 티빙 사건의 처분 수준을 단순 비교하기는 어렵다. 이번 사건에서도 유출 규모뿐 아니라 사전 보안 조치, 사고 신고, 피해 회복의 실효성 등을 종합적으로 따져야 한다.

김 의원은 개인정보보호위원회에 보상안과 기한 연장이 과징금 감경의 근거로 인정되지 않도록 하고, 법이 허용하는 최고 수준의 과징금과 제재를 내려야 한다고 요구했다. 피해자에게 제시한 혜택이 실제 피해 회복으로 이어졌는지, 재가입 조건이 적절했는지, 신청 기간 연장이 감경 판단에 어떤 영향을 미칠지는 향후 처분 과정에서 가려질 쟁점이다.

심준보 로이슈(lawissue) 기자 xzvc@lawissue.co.kr