티빙, 회원정보는 스트리밍보다 가볍게 흘렸다

티빙은 1일 침해사고를 신고했고, 과기정통부는 3일 민관합동조사단을 꾸려 조사에 들어갔다. KISA는 자료 보전을 요구했고, 정부는 대규모 정보유출과 추가 피해 가능성을 이유로 이번 일을 중대한 사고로 봤다. 요약하면 이렇다. OTT가 회원정보를 지켜야 하는 자리에서 '외부 비인가 접근'을 허용했고, 이제 국가가 들어와서 원인과 피해 규모를 대신 캐고 있다. 이 정도면 서비스가 스트리밍한 건 드라마가 아니라 개인정보였다.

여기서 제일 먼저 나와야 할 질문은 늘 같다. 무엇을 미리 봤어야 했나. 어떤 접근을 막았어야 했나. 어떤 권한을 분리했어야 했나. 어떤 로그를 보존하고 이상 징후를 더 일찍 잡았어야 했나. 그런데 지금 보이는 장면은 정반대다. 티빙이 1일 신고하고, 3일에야 조사단이 붙고, KISA가 자료 보전을 요구한다. 아니, 설마 증적 보전까지 바깥에서 알려줘야 굴러가는 구조였나. 보안 운영이 아니라 알림장이다.

대표는 '이용자가 믿고 맡긴 정보를 지키지 못한 책임은 전적으로 티빙에 있다'고 했다. 맞는 말이다. 드물게 군더더기 없는 문장이라 오히려 서늘하다. 다만 그 다음이 문제다. 이런 사고 뒤에 기업이 흔히 꺼내는 수순은 뻔하다. 비밀번호 바꾸세요, 피싱 주의하세요, 수상한 연락 조심하세요. 즉 자기네 통제 실패를 이용자 생활수칙으로 외주화하는 것이다. 문을 열어놓은 쪽은 회사인데, 밤길 조심 공지는 늘 고객 몫이다. 참 성의도 박하다.

과기정통부가 3일 긴급으로 침해사고 조사 심의위원회를 열고, 중대한 사고라며 민관합동조사단 구성이 필요하다고 판단한 대목은 특히 모욕적이다. 왜냐하면 이건 '국가가 과장한다'는 뜻이 아니라, 사업자가 스스로 설명할 수 있는 단계를 이미 지나쳤다는 뜻이기 때문이다. 위원회는 지난달 19일 사전 가동을 시작한 선제 대응 체계라는데, 정작 티빙 쪽에서는 선제적으로 뭘 확인했는지 묻게 된다. 접근통제? 데이터 최소화? 이상 접속 모니터링? 피해 범위 산정? 하나라도 시원하게 먼저 내놓은 게 있나.

OTT는 원래 누가 뭘 보고, 언제 접속하고, 어떤 기기에서 이용하는지 집요하게 다루는 서비스다. 추천 알고리즘에는 집착하면서 정작 회원정보 접근에 대해서는 '외부 비인가 접근'이라는 네 글자짜리 회피막 뒤에 숨으면, 그건 기술기업 흉내지 운영이 아니다. 멀티프로필은 촘촘하게 나누면서 권한 분리와 감시는 허술했다면, 그건 제품은 디테일하고 보안은 대충인 전형적인 반쪽짜리 성장 서사다. 쉽게 말해 서버룸 문앞에 '관계자 외 출입금지' 종이만 붙여놓고 안심한 급이다.

이번 사고의 핵심은 복잡하지 않다. 회원정보를 가진 서비스가 외부 비인가 접근을 당했고, 중대한 사고 판단이 내려질 만큼 상황이 컸으며, 정부와 KISA가 나서서 자료부터 붙잡고 원인과 피해를 조사하고 있다. 여기서 티빙이 해야 할 일은 감성 사과문 추가 업로드가 아니다. 무엇을 점검하지 않았고, 무엇을 분리하지 않았고, 무엇을 늦게 알았고, 무엇을 이용자에게 떠넘기려 했는지 하나씩 밝히는 일이다. '전적으로 책임'이라는 말은 시작 문장으로는 괜찮다. 그 문장 뒤가 비면, 그냥 고백문도 아니고 공란이다.