“계정 유출, 뼈아프게 반성”… 티빙, 5년간 보안에 120억 투자

접속키·접근권한 부실에 대규모 유출
보안 투자 4배·전문인력 3배 늘리고
제로트러스트·AI 탐지 등 대응 강화
안심보험 1인당 최대 300만원 보상도

티빙이 개인정보 유출 사고를 계기로 정보보호 투자와 전문인력을 대폭 확대하고 보안 체계를 전면 재구축한다. 정부 조사에서 접속키 관리와 이상행위 모니터링, 보안인력 등 정보보호 체계 전반의 미흡점이 확인되자 향후 5년간 정보보호 투자를 직전 5년 대비 약 4배로 늘리고 보안 전문인력도 현재의 3배 수준으로 확충하기로 했다. 피해 우려 고객에게는 최대 300만원까지 보장하는 안심보험 등 보상 패키지를 제공한다.

3일 티빙은 서울 광화문 코리아나호텔에서 사이버 침해사고 관련 설명회를 열고 이 같은 정보보안 강화 및 고객 보상 계획을 발표했다. 최주희 티빙 대표는 민관합동조사단의 조사 결과를 수용하고 재발 방지 대책을 책임 있게 이행해 고객 신뢰를 회복하겠다는 입장을 밝혔다. 최 대표는 "이번 사고를 뼈아프게 반성하고 보안 체계 전반을 근본부터 다시 세우겠다"며 "정보보호를 플랫폼의 가장 중요한 책임이자 경쟁력으로 삼고 고객 신뢰 회복에 최선을 다하겠다"고 말했다.

이번 사고로 유출된 계정은 3954만개로 조사됐지만 중복 계정이 포함돼 실제 개인정보가 유출된 이용자 수는 이보다 적을 것으로 보인다. 과학기술정보통신부 민관합동조사단에 따르면 활성 계정 2206만개와 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개가 유출됐다. 동일인이 여러 계정을 보유한 경우가 포함됐으며 한 사람이 최대 13개 계정을 가진 사례도 확인됐다. 실제 개인정보 유출 인원과 세부 규모는 개인정보보호위원회가 확정할 예정이다.

다만 현재까지 실제 이용자 피해 사례나 다크웹 등을 통한 개인정보 불법 거래·유통 정황은 확인되지 않았다.

민관합동조사단에 따르면 사고가 대규모 유출로 확대된 것은 접속키·접근권한 관리 부실과 미흡한 대응체계 때문인 것으로 나타났다. 티빙은 접속키를 소스코드에 노출하거나 평문으로 저장하고 모든 개발자에게 전체 프로젝트 접근권한을 부여한 것으로 조사됐다. 또한 이상행위 실시간 탐지·차단 체계도 부족했으며 정보보호 전담인력은 외주인력을 제외하고 4명 내외에 그쳤다. 이상징후 발생 후 CISO 등에 상황이 공유되기까지 약 14시간이 걸렸고, 2024년 모의해킹에서 확인된 접속키 노출 취약점도 개선하지 않은 것으로 확인됐다.

티빙 측은 사고 이후에는 정부 조사 결과 발표에 앞서 일부 취약점에 대한 선제 조치를 진행했다. 유출된 개발 프로젝트 361건을 대상으로 민간 보안업체를 통해 취약점을 전수 점검하고 조사단의 확인을 받았으며 현재 AI를 활용한 추가 취약점 분석도 진행하고 있다고 밝혔다. 정보보호 투자와 인력도 단계적으로 확대한다. 지난해 약 25억원이었던 정보보호 투자액은 올해 약 30억원으로 늘어날 것으로 예상되며 향후 5년 내 연간 100억~120억원 수준까지 확대할 계획이다.

지난해 공시 기준 정보보호 인력은 내부 4.8명과 외부 4.6명을 합쳐 9.4명이다. 정부 조사에서 언급된 4명 내외는 외부 인력을 제외한 내부 전담인력을 기준으로 집계하면서 차이가 발생했다. 티빙은 내부 보안인력을 올해 말까지 10명으로 늘려 외부 인력을 포함해 총 15~16명 수준을 확보하고 향후 5년간 25~30명까지 확대할 계획이다. 또한 접근 단계마다 사용자를 검증하는 '제로 트러스트'와 최소 권한 원칙을 도입하고 AI 기반 이상행위 탐지·자동 대응 체계도 강화한다. CEO 직속 '정보보호혁신 자문위원회'를 두고 외부 전문가의 검증도 받는다.

고객 보상은 개인정보 유출에 따른 2차 피해 우려를 줄이는 데 초점을 맞췄다. 해킹·피싱 안심보험을 통해 1년간 사이버 금융사기와 인터넷 쇼핑몰·개인 간 직거래 사기 등에 1인당 최대 300만원을 보상한다. 프리미엄급 시청 환경 업그레이드와 5000원 상당 티빙 포인트를 제공하고 웨이브 AVOD 1개월 이용권 또는 CGV 콤보 할인쿠폰도 선택할 수 있도록 했다.