티빙, 보안인력 30명까지 늘린다…탈퇴 회원도 정보유출 보상

티빙은 대규모 정보유출 사고 이후 민관합동조사단 조사 결과를 수용하고 사과하면서 보안 체계 전반을 근본 재구축하겠다는 방침을 밝혔다. 최주희 티빙 대표는 3일 서울 중구 코리아나호텔에서 열린 사이버 침해사고 설명회에 참석해 사고를 반성하고 이같이 밝혔다.

티빙은 이에 따라 정보보호 인력을 연말 10명으로 확대할 계획이다. 또 향후 5년간 내·외부 보안 인력을 최대 30명 규모로 확대하고, 보안 전문인력도 향후 5년간 현재의 약 3배로 늘릴 계획이다.

투자도 중장기적으로 확대한다. 티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대할 계획이라고 밝혔다. 아울러 보안조직은 프로덕트 보안, 클라우드 보안, 전사 정보기술(IT) 보안, 컴플라이언스 보안으로 세분화할 방침이다.

유출 피해 보상 범위도 넓혔다. 티빙은 개인정보가 유출된 휴면 회원과 개인정보가 유출된 탈퇴 회원도 보상 대상에 포함하기로 했다.

티빙은 구체적 인력 확충 계획을 공개했다. 지난해 기준 티빙 정보보호 인력 9.4명 규모였고, 구성은 내부 4.8명·외부 4.6명이었다. 티빙은 올해 말까지 내부 정보보호 인력 10명 확대 계획과 향후 5년간 내·외부 정보보호 인력 합계 약 25~30명 확대 계획을 제시했다.

과학기술정보통신부 민관합동조사단은 이날 티빙 정보보호 전담인력 약 4명 수준을 지적했다. 비교 대상 개발인력은 149명이었다. 조사단은 해당 인력 규모로 상시 보안관제·취약점 점검 등 정보보호 활동 수행에 한계가 있다고 판단했다.

이에 맞춰 티빙은 보안 체계에 제로트러스트 원칙을 적용하고, 인증·접근통제를 단계별 검증 방식으로 개편하기로 했다. 직무·목적별 최소 권한 부여 체계로도 개편하고, 내부 침해를 전제로 시스템·네트워크 영역을 분리하기로 했다. 또 인공지능(AI) 기반 이상행위 탐지를 강화하고, 실시간 자동 대응 체계도 강화한다. 아울러 CEO 직속 '정보보호혁신 자문위원회'를 구성해 외부 전문가 검증도 추진한다.

정부 조사 결과 티빙이 이미 확인한 보안 취약점을 개선하지 않은 사실이 확인됐다. 티빙은 2024년 모의해킹에서 개발·운영환경 접속키의 소스코드 노출 취약점을 발견했지만 해당 취약점을 미조치했다. 조사단은 접속키 관리 부실과 비정상 행위 탐지·대응체계 부재를 지적했다.

티빙은 현장에서 해당 취약점 미개선 이유에 대해 관련 업무 인계·관리 과정이 미흡했다고 설명했다. 또 티빙은 사고 이후 관련 취약점 전수 조사를 진행했고 보안조치를 강화했다고 발표했다.

한편 티빙은 이번 사고로 유출된 개발 프로젝트 361건의 피해 규모는 산정하기 어렵다는 입장을 내놨다. 과기정통부 조사에 따르면 유출 기술자산 규모는 30.35GB였고, 여기에는 이용자 추천·검색 알고리즘 소스코드와 인증체계 소스코드, 결제관리 소스코드, 유료서비스 운영 관련 소스코드가 포함됐다.

티빙은 361개 항목이 티빙 서비스 개발에 필요한 소스코드라고 설명했으며, 민간 보안업체를 통한 취약점 전수 검사를 실시했고 조사단 확인도 완료했다고 밝혔다.

이어 AI 활용 추가 취약점 분석을 진행 중이며, 발견 취약점은 지속적으로 개선할 계획이라고 밝혔다.

고객 보상책으로는 해킹·피싱 안심보험, 프리미엄급 시청환경, 티빙 포인트, 엔터테인먼트 쿠폰을 제공한다. 안심보험 제공 기간은 1년이며, 보장 대상은 해킹·피싱에 따른 사이버 금융사기·인터넷 쇼핑몰 사기·개인 간 직거래 사기 등이고, 보장 한도는 1인당 최대 300만원이다. 현재 티빙 구독 이용자에게는 10월~12월 최대 4K 화질·4대 동시시청의 프리미엄급 시청환경을 별도 신청 없이 제공한다. 개인정보 유출 피해 이용자에게는 개별 콘텐츠 구매에 사용할 수 있는 5000원 상당 티빙 포인트를 지급하며, 선택 제공 항목으로 웨이브 광고형 주문형비디오(AVOD) 1개월 이용권 또는 CGV 콤보 할인쿠폰도 제공한다.

보상은 휴면 회원 보상 대상과 탈퇴 회원 보상 대상까지 포함한다. 다만 기존 보유 정보와 본인 정보 대조 목적 재가입 필요하며, 유료 구독 불필요하다.

티빙은 보상 패키지 이용자 체감가치 추산치 1인당 약 2만 원이라고 밝혔다. 다만 실제 재무 부담 변동 요인 신청자 수와 실제 재무 부담 변동 요인 이용자 선택 보상 항목을 이유로 전체 보상 비용 비공개 방침을 정했다.

티빙은 보상 비용 부담 발생에도 오리지널 콘텐츠 투자 축소 계획 없음, 스포츠 투자 축소 계획 없음 입장을 밝혔다. 또한 글로벌 사업 확대 방침 지속과 콘텐츠 재투자 방침 지속 방침도 유지한다고 했다.

보상 신청 접수 기간 7일부터 30일까지이며, 보상 신청 경로 티빙 앱·웹사이트다. 보상 적용 시작일 10월 6일이다.

출처: 아이티데일리 (IT DAILY) · 김병주 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=241390

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=241390