티빙, 듀오, 강남언니 등 최근 개인정보 유출 사고를 일으킨 주요 플랫폼 기업들이 과거 모의해킹에서 이미 보안 취약점을 지적받았음에도 근본적인 개선에 미흡했던 것으로 드러났다. 이들 기업의 허술한 보안 관리와 피해보상 대책은 6일 국회 과학기술정보방송통신위원회 국정감사에서 집중적으로 도마에 올랐다.
이날 국정감사에서 이정헌 더불어민주당 의원은 티빙의 대규모 개인정보 유출 사고와 관련해 개발자 접속키를 소스코드에 평문으로 저장하고, 대량의 데이터가 외부로 빠져나가는 과정에서도 이를 탐지하지 못했다고 지적했다. 이훈기 의원 역시 2024년 모의해킹 당시 하드코딩 취약점이 발견됐으나 전면적인 개선이 이뤄지지 않았다고 비판했다. 황정아 의원은 티빙이 국회 자료 제출에도 소극적으로 임했다고 꼬집었다.
티빙의 최주희 대표는 책임자로서 국민들에게 사과하며, 과거 보안에 소홀했음을 인정했다. 최 대표는 “피해 고객들에게 피싱 예방 보험과 포인트, 쿠폰 등을 지급했다”고 설명했다. 또한 “회사가 성장하면서 정보보호 투자액이 늘긴 했으나 충분했는지는 미처 살피지 못했다”며, 앞으로 인력과 투자를 확대하고 제로트러스트 기반의 글로벌 수준 보안체계를 갖추겠다고 밝혔다. 개인정보보호위원회 조사가 진행 중인 사안이라 확정되지 않은 자료는 제출하지 못했다고 해명했다.
티빙의 정보보호 투자액은 2023년 18억4000만원, 2024년 17억7000만원에서 지난해 24억8000만원으로 증가했으며, 올해는 30억원 집행이 예상된다. 티빙은 최근 기자간담회에서 투자액을 2030년까지 100억~120억원 수준으로 늘리고, 올해 말까지 내부 보안 인력을 10명, 외주 포함 15~16명으로 확대하겠다는 계획을 공개했다. 최근 5년간 매출이 155억원에서 4068억원으로 26배 이상 증가했지만, 외주 인력을 제외한 정보보호 전담 인력은 4명에 불과했다는 지적도 나왔다.
티빙의 해킹 사고는 5월30일 발생했으나, 회사가 이를 인지한 것은 다음 날이었다. 신고는 6월1일, 이용자 공지는 6월2일에 이뤄졌다. 유출된 정보에는 아이디, 비밀번호(단방향 암호화), 이름, 생년월일, 연계정보(CI·DI), 휴대전화번호, 이메일, 환불 계좌번호 등이 포함됐다. 이 중 일부 정보는 암호화된 채 유출됐지만 암호화키까지 함께 빠져나가 사실상 평문 노출과 다름없었다. 활성 계정 2206만개, 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개 계정과 361건의 개발 프로젝트 소스코드가 유출됐다.
이날 국감에는 티빙 외에도 토스페이먼츠, 강남언니(힐링페이퍼), 듀오, SK텔레콤, KT, LG유플러스 등 개인정보 유출 사고를 겪은 IT·플랫폼·통신사 대표 및 정보보호책임자들이 증인으로 출석했다. 특히 티빙의 사고 규모가 커 집중 질의가 이어졌다. 의원들은 신고와 공지가 늦었던 점, 피해 예방 투자 부족, 자료 제출 미흡 등을 문제 삼았다.
토스페이먼츠 임한욱 대표는 결제 영수증 대량 유출과 관련해 “미흡한 부분이 있었다”고 인정하고, 가맹점 등에 현금성 상품권을 지급해 피해를 구제하고 있다고 밝혔다. 강남언니 운영사 힐링페이퍼의 홍승일 대표도 “민감한 개인정보를 지키지 못한 책임을 통감한다”며, 피해보상과 법률 지원을 약속했다.
결혼정보업체 듀오의 피해보상 문제도 논란이 됐다. 황정아 의원은 듀오에서 병역 미필 사유, 전 배우자 이름, 이혼 사유, 연수입, 재산, 건강 상태 등 민감정보가 대규모로 유출됐다고 지적했다. 박수경 듀오 대표이사는 “정보가 제대로 지켜지지 않은 점을 인정한다”면서도 일률적 보상안 마련은 어렵다고 답했다. 이에 황 의원은 최소한의 보상안 마련을 요구했다.
배달의민족(우아한형제들)에서는 고객센터 상담사가 고객의 집 주소와 현관 비밀번호 등 개인정보를 무단 조회해 외부로 넘긴 사건이 지적됐다. 우아한형제들은 개인정보 처리 수탁사 관리 항목을 기존 30개에서 50여개로 확대했다고 설명했다.
국감에서는 개인정보 유출 사고를 은폐하거나 자료 제출을 거부하는 기업에 대한 강력한 제재 필요성도 제기됐다. 황정아 의원은 보안에 적극 투자하는 기업에는 컨설팅과 AI 지원을, 사고를 숨기는 기업에는 징벌적 제재를 주문했다. 배경훈 과학기술정보통신부 장관은 “자료 제출 불이행이나 침해사고 미대응, 은폐 시 엄중 대응이 필요하다”고 밝혔다.
댓글0