온라인동영상서비스 티빙에서 3954만 계정에 관한 정보가 유출된 사고를 두고, 단순한 일회성 침해로 볼 수 없다는 비판이 커지고 있다. 대한변호사협회는 대규모 개인정보 사고가 반복됐는데도 기업의 보안 투자와 책임 구조가 충분히 달라지지 않았다며 철저한 조사와 제도 개선을 요구했다. 이번 사건은 이용자 수와 직접 일치하지 않는 계정 규모를 기준으로 알려졌지만, 유출 범위와 정보 종류가 넓다는 점에서 사회적 우려가 크다.
변협이 특히 주목한 대목은 사고의 예측 가능성이다. 앞서 통신과 유통 분야에서 대형 정보 유출이 이어졌고, 국회 청문회와 관계 기관의 점검도 진행됐다. 그럼에도 비슷한 문제가 다시 발생했다면 기업이 위험을 충분히 인식하고도 예방 조치를 미뤘는지 살펴봐야 한다는 취지다. 변협은 이번 사태를 외부의 갑작스러운 공격에만 원인을 돌리기보다 조직의 대응 체계와 의사결정 과정을 함께 조사해야 한다고 주장했다.
반복된 경고에도 남은 취약점
보도에 따르면 티빙은 2024년 모의해킹 과정에서 취약점을 확인했지만 문제가 충분히 개선되지 않았다는 지적을 받고 있다. 사실관계와 책임 범위는 수사와 조사에서 확정돼야 하지만, 사전에 발견된 위험이 실제 사고로 이어졌다면 보안 점검이 형식적으로 운영됐는지가 핵심 쟁점이 된다. 취약점 발견, 개선 지시, 조치 완료 확인까지 이어지는 내부 절차가 제대로 작동했는지 검증할 필요가 있다.
개인정보 보호는 기술 부서만의 과제가 아니다. 서비스 기획 단계에서 수집 정보를 최소화하고, 접근 권한을 세분화하며, 오래된 데이터를 안전하게 폐기하는 정책이 함께 작동해야 한다. 사고 대응 훈련과 외부 감사도 정기적으로 이뤄져야 한다. 경영진이 보안을 비용 항목으로만 취급하면 취약점 개선은 신규 기능 출시나 매출 확대 과제에 밀릴 수 있다. 이 때문에 이사회와 최고경영진이 위험 수준을 직접 보고받고 예산과 인력을 배분해야 한다는 요구가 나온다.
변경할 수 없는 정보가 남기는 장기 위험
이번 사고에서는 본인 확인 과정에서 만들어지는 CI, 즉 연계정보도 유출된 것으로 전해졌다. CI는 여러 서비스에서 동일인을 식별하기 위한 값으로 활용되며 비밀번호처럼 이용자가 원할 때 손쉽게 바꿀 수 없다. 따라서 유출된 정보가 다른 데이터와 결합될 경우 장기간 추적이나 명의 도용에 악용될 가능성을 배제하기 어렵다. 이용자에게 비밀번호 변경만 권고하는 방식으로는 충분한 보호가 되지 않을 수 있다는 의미다.
유출 피해를 줄이려면 기업은 정보 종류별 위험도를 구체적으로 설명해야 한다. 어떤 항목이 빠져나갔는지, 유출 시점과 경로는 무엇인지, 제3자가 실제로 조회하거나 내려받았는지 등을 이용자가 이해할 수 있는 언어로 알려야 한다. 의심스러운 로그인과 본인 인증 시도를 감지할 수 있는 수단도 제공해야 한다. 관계 기관은 장기 모니터링과 2차 피해 신고 창구가 실질적으로 운영되는지 확인할 필요가 있다.
낮은 배상액과 예방 투자 사이의 저울
변협은 디스커버리, 징벌적 손해배상, 집단소송을 묶은 이른바 민생3법의 입법을 촉구했다. 현재 개인정보 유출 사건에서 피해자 개인이 받는 배상액이 대체로 크지 않아, 기업이 보안 체계를 강화하는 비용보다 사고 뒤 부담할 비용을 낮게 평가할 수 있다는 문제의식이다. 행정기관이 부과하는 과징금과 실제 피해자에게 돌아가는 배상은 목적이 다르기 때문에 두 제도를 분리해 살펴봐야 한다는 설명도 뒤따른다.
징벌적 손해배상은 고의 또는 중대한 과실이 확인된 기업에 실제 손해보다 큰 책임을 지우는 방식이다. 집단소송은 비슷한 피해를 본 다수 이용자가 개별적으로 소송을 반복하지 않고 함께 권리를 구제받도록 돕는다. 디스커버리 제도는 피해자가 기업 내부 자료에 접근하기 어려운 정보 격차를 줄이는 데 초점이 있다. 세 제도가 결합되면 기업이 사고 원인을 감추거나 책임을 지연하는 유인이 줄어들 수 있다는 것이 도입을 주장하는 측의 논리다.
반면 제도 설계 과정에서는 무분별한 소송과 과도한 비용 부담을 막을 장치도 필요하다. 적용 요건을 명확히 하고, 단순 실수와 반복된 방치 또는 중대한 과실을 구분해야 한다. 배상 규모를 산정할 때 유출 정보의 민감성, 실제 악용 가능성, 기업의 사전 조치와 사고 뒤 대응을 종합적으로 평가하는 기준이 요구된다. 피해 구제의 실효성과 산업의 예측 가능성을 함께 확보해야 제도가 안정적으로 정착할 수 있다.
모회사와 경영진 책임도 조사 대상
변협은 티빙뿐 아니라 모회사 차원의 관리·감독 책임도 조사할 필요가 있다고 밝혔다. 자회사의 보안 예산과 인력, 시스템 교체 같은 중대한 결정이 모회사의 승인 구조에 좌우된다면 실질적인 결정권자가 누구였는지 확인해야 한다는 이유다. 다만 구체적인 법적 책임은 지배 구조와 보고 체계, 위험 인지 여부 등 개별 사실을 토대로 법원이 판단할 사안이다.
이번 사고의 재발 방지책은 사과와 단기 점검에 그쳐서는 안 된다. 독립적인 조사로 침해 경로를 규명하고, 확인된 취약점의 개선 일정과 검증 결과를 공개해야 한다. 이용자 통지와 피해 지원, 협력업체 접근 관리, 데이터 보관 기간 단축 같은 후속 조치도 점검 대상이다. 기업이 보안을 서비스 신뢰의 핵심 요소로 다루고 감독 기관이 이행 상황을 지속적으로 확인할 때 반복되는 정보 유출의 고리를 끊을 수 있다.
댓글