티빙의 최신 스릴러: 개인정보는 먼저 유출하고, 비밀번호는 나중에 바꾸라

티빙이 3일, 비인가된 접근으로 회원 개인정보가 유출됐다고 공지했다. 유출 항목은 회원 ID, 이름, 생년월일, 성별, 전화번호, 이메일이다. 대형 OTT가 이렇게까지 교과서적인 식별정보 세트를 흘려놓고도 사고 원인과 피해 범위는 조사 중이라며, 동시에 이용자에게 동일 계정을 쓰는 다른 서비스 비밀번호를 바꾸라고 권했다. 이 정도면 보안 사고 공지가 아니라 ‘우리가 놓친 기본기는 이제 각자 알아서 메워 달라’는 선언문이다. 회원정보 보관함을 운영하면서 회원정보 보관함답게 잠그는 일에서 미끄러진 셈이다.

유출된 항목을 보면 더 한심하다. 회원 ID, 이름, 생년월일, 성별, 전화번호, 이메일이면 피싱, 스미싱, 계정 사칭에 쓰기 좋은 재료를 정성껏 한 상 차려준 셈이다. 이런 데이터는 원래부터 접근 통제, 분리 보관, 이상 접근 탐지, 최소 권한, 로그 점검으로 지켜야 한다. 뭘 분리했는지, 누가 언제 얼마나 봤는지, 비인가된 접근을 왜 그 시점 전에는 몰랐는지부터 설명해야 하는데, 돌아온 말은 ‘조사 중’이다. 조사 중이라는 말은 편리하지만, 이용자 정보가 밖으로 나간 뒤에는 너무 늦게 도착한 비상벨처럼 들린다.

그리고 빠지지 않는 문장이 있다. 주민등록번호와 결제 관련 유효 정보는 보유하지 않아 유출 대상이 아니었다는 설명이다. 물론 그건 다행이다. 그런데 회원 ID, 이름, 생년월일, 성별, 전화번호, 이메일이 나간 상황에서 “더 큰 것도 없었어요”를 안도 포인트로 내세우는 태도는, 현관문을 열어둔 채 신발장은 안 털렸다고 침착함을 연기하는 것과 다를 바 없다. 고객은 지금 ‘최악이 아니었다’는 위로가 아니라, 애초에 왜 이렇게 기본적인 개인정보 묶음이 뚫렸는지 듣고 싶다.

티빙은 유출 사실을 인지한 즉시 보안 조치를 강화하고 지속적 모니터링을 하고 있다고 밝혔다. 늘 그렇다. 사고 후에는 어디서나 모니터링이 강화된다. 문제는 그 강화가 왜 유출 전이 아니었느냐는 것이다. 비인가된 접근을 탐지할 로그는 있었나, 경보는 울렸나, 계정 이상행위는 제한했나, 데이터 접근량 증가는 봤나, 민감한 회원정보 조회는 분리했나. 이런 질문 앞에서 ‘이제 열심히 볼게요’는 대답이 아니다. 개판이다.

더 웃기는 대목은 책임의 흐름이다. 회사는 KISA 신고와 피해 구제 절차를 안내하겠다고 하면서, 이용자에게는 동일 계정 정보를 쓰는 티빙 및 기타 서비스의 비밀번호 변경을 권고했다. 먼저 새고 나서 경고하는 고전적 순서다. 내부 통제 실패의 후속 비용을 왜 이용자의 시간과 불안으로 청구하나. 회사가 해야 할 일은 고객에게 보안 습관을 훈계하는 게 아니라, 어느 시스템에서 어떤 비인가 접근이 있었고 어떤 범위의 회원이 영향을 받았는지, 언제 인지했고 왜 더 빨리 막지 못했는지 구체적으로 밝히는 것이다.

OTT는 드라마를 틀어주는 서비스지, 회원정보로 서스펜스를 제작하는 곳이 아니다. 티빙이 지금 보여준 것은 정교한 공격에 당한 비극이라기보다, 기본 점검과 분리, 제한, 탐지, 공지의 타이밍이 모조리 늦은 전형적인 ‘먼저 새고 나서 사후 권고’ 패턴이다. 대형 서비스가 회원 ID와 이름, 생년월일, 성별, 전화번호, 이메일을 들고 있었다면, 최소한 그 묶음이 밖으로 나가지 않게 관리했어야 한다. 그걸 못하고 나서 “다른 서비스 비밀번호도 바꾸세요”라고 말하면, 보안 조언처럼 들리는 게 아니라 등신같이 행동한다는 자백처럼 들린다.