국내 온라인동영상서비스(OTT) 티빙이 7일 대규모 개인정보 유출 사고 대상 고객을 위한 보상 신청 접수를 시작했다. 티빙은 보상 패키지의 1인당 체감 가치를 약 2만원으로 산정했지만, 유출된 정보의 범위와 민감성에 비해 부족하다는 이용자들의 반발은 가라앉지 않고 있다. 온라인에서는 보상안의 실효성을 문제 삼으며 공동 손해배상 소송 참여 방법을 공유하는 움직임도 나타나고 있다.

최근 과학기술정보통신부 민관합동조사단이 발표한 조사 결과에 따르면 이번 사고로 정보가 유출된 티빙 계정은 총 3954만개다. 활성 계정 2206만개뿐만 아니라 휴면·탈퇴 계정 등 비활성 계정 1737만개와 테스트 계정 11만개까지 티빙이 보유한 사실상 모든 계정이 유출됐다.

다만 3954만개는 실제 피해자 수가 아닌 중복을 포함한 계정 수다. 한 사람이 복수의 계정을 보유한 사례가 포함됐다. CI가 부여된 1904만개 계정 가운데 중복을 제외한 고유 이용자는 1324만명으로 집계됐다. 개인정보별 정확한 유출 인원은 개인정보보호위원회의 추가 조사를 거쳐 확정될 예정이다. 티빙은 중복을 제외한 약 1950만명을 보상 대상으로 제시했다.

유출 항목도 광범위했다. 아이디와 이름, 생년월일, 휴대전화번호, 이메일 주소를 비롯해 동일인을 식별하는 데 사용되는 연계정보(CI)와 중복가입확인정보(DI), 결제 및 서비스 이용 정보 등 최대 20개 항목·70종이 포함됐다. 일부 암호화된 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 복호화할 수 있는 상태였던 것으로 조사됐다. 여러 서비스에서 동일인을 식별하는 데 쓰이는 CI가 다른 개인정보와 결합될 경우 정교한 스미싱이나 보이스피싱에 악용될 수 있다는 우려도 나온다.

사고의 규모뿐 아니라 티빙의 보안 관리 실태도 도마 위에 올랐다. 조사단에 따르면 티빙은 2024년 모의해킹에서 개발·운영 환경의 접속키가 소스코드에 그대로 노출되는 취약점을 발견하고도 개선하지 않았다. 이상 징후가 발생한 뒤 정보보호 전담 조직과 최고정보보호책임자에게 상황이 공유되기까지 약 14시간이 걸린 사실도 확인됐다.

티빙은 조사 결과가 발표된 당일 사이버 침해사고 설명회를 열어 사과하고 후속 대책을 내놨다. 최주희 대표는 "민관합동조사단의 조사 결과를 겸허히 수용한다"며 "고객의 신뢰를 회복할 수 있도록 재발 방지 대책을 책임 있게 이행하겠다"고 밝혔다. 이어 고객 한 명당 체감 가치를 약 2만원으로 추산한 보상 패키지를 공개했다.

티빙이 피해 고객에게 내놓은 보상 카드는 네 가지다. 1년간 해킹·피싱 안심보험과 3개월간 프리미엄급 시청 기능, 5000원 상당의 티빙 포인트를 제공한다. 여기에 웨이브 광고형 스탠다드 1개월 이용권과 CGV 콤보 5000원 할인 쿠폰 가운데 하나를 선택할 수 있도록 했다. 보상 신청은 7일부터 오는 30일까지 홈페이지와 모바일 앱에서 진행되며, 혜택은 다음 달 6일부터 순차적으로 적용된다.

그러나 이용자가 용도에 제한 없이 사용할 수 있는 현금성 보상은 포함되지 않았다. 티빙 포인트는 월 구독료가 아닌 개별 유료 콘텐츠 구매에만 사용할 수 있다. 웨이브 이용권에는 광고가 붙고, CGV 혜택 역시 영화 관람권이 아닌 매점 콤보 할인 쿠폰이다. 프리미엄급 시청 기능도 이용권의 화질과 동시 시청 대수 등을 높여주는 혜택이라 유료 구독권이 없는 고객은 이 기능만으로 콘텐츠를 볼 수 없다.

특히 탈퇴 회원이 보상받으려면 티빙에 무료 회원으로 다시 가입해야 한다는 점을 두고 논란이 거셌다. 티빙은 보상 대상자 확인과 기존 정보값의 대조를 위해 가입이 불가피하고 유료 구독까지 할 필요는 없다고 설명했다. 그럼에도 개인정보가 유출된 탈퇴 회원에게 다시 개인정보를 제공하고 가입 절차를 밟도록 한 것은 피해구제의 부담을 이용자에게 넘기는 방식이라는 비판이 나온다.

'최대 300만원 보상'으로 소개된 안심보험도 개인정보 유출 피해자에게 일괄적으로 지급되는 보상금은 아니다. 향후 1년 동안 해킹·피싱이나 인터넷 쇼핑몰 사기 등의 피해가 실제로 발생하고 보험 약관상 조건을 충족해야 보장받을 수 있다. 회사의 보안 관리 실패로 개인정보 유출 위험을 키워놓고, 앞으로 발생할지 모르는 2차 피해에 대비한 보호조치를 핵심 보상책으로 내세웠다는 지적이 나오는 이유다.

온라인에서도 보상안을 향한 불만이 이어지고 있다. 이용자들은 개인정보의 가치를 회사가 일방적으로 2만원으로 산정한 것 아니냐며 실효성에 의문을 제기했다. 피해자가 직접 신청 기간을 확인하고 절차를 밟아야 하는 데다 탈퇴 회원은 재가입까지 해야 한다는 점을 문제 삼는 반응도 잇따랐다. 일부 이용자는 보상 패키지만으로는 충분하지 않다며 손해배상 소송의 신청 방법과 절차를 공유하고 있다.

이 같은 반응과 맞물려 티빙을 상대로 한 공동 손해배상 소송에도 다시 관심이 쏠리고 있다. 흔히 '집단소송'으로 불리는 관련 소송은 지난 6월부터 여러 법무법인을 중심으로 추진돼 왔다. 민관합동조사단 발표 이후 새롭게 참여자를 모집하는 곳이 생겼고, 기존 소송 가운데 추가 원고 모집에 들어간 사례도 나오면서 법적 대응이 확산할 가능성이 커졌다.

이용자들이 문제 삼는 것은 단순히 보상액이 적다는 데 그치지 않는다. 정부 조사에서 보안 관리 부실이 확인된 상황에서 보상안 상당 부분마저 티빙이나 제휴 서비스를 이용해야만 체감할 수 있도록 설계됐기 때문이다. 탈퇴 회원에게 재가입을 요구하고 조건부 보험을 핵심 대책으로 내세운 보상안이 장기간 이어질 2차 피해 우려를 해소하기에는 부족하다는 반발이 계속되는 만큼, 공동 손해배상 소송에 대한 관심도 당분간 이어질 것으로 보인다.

박주원 텐아시아 기자 pjw00@tenasia.co.kr