3954만 계정 털린 티빙, 암호화키까지 내줬다⋯역대급 해킹에 수백억 과징금 맞을까

국내 대표 OTT 티빙이 해킹당해 3954만 계정의 개인정보와 핵심 기술이 통째로 털렸다.

여기에는 이름, 휴대전화 번호는 물론 주민등록번호를 대신해 본인을 확인하는 연계정보(CI·온라인 식별 번호)까지 포함됐다. 가장 뼈아픈 대목은 이메일 등을 가려둔 암호화키마저 함께 도난당했다는 점이다.

민관합동조사단은 이를 두고 "평문(암호화되지 않은 원본 데이터) 유출과 동일한 수준"이라고 지적했다.

더불어 콘텐츠 추천 알고리즘 등이 담긴 소스코드 361건(30.35GB)도 빠져나갔다. 단순한 개인정보 유출을 넘어 기업의 심장인 핵심 기술 자산까지 붕괴한 셈이다.

전체 매출액 기준 수백억 과징금 예상

현행 개인정보 보호법(제29조)은 기업이 해킹 등 침해사고에 대비해 합리적인 수준의 안전성 확보 조치를 하도록 강제하고 있다.

암호화키가 데이터와 함께 유출됐다는 것은 기본적 접근통제마저 무너졌음을 시사한다. 또한 이미 탈퇴한 887만 개의 계정 정보를 파기하지 않고 쥐고 있다가 유출된 점 역시 명백한 법 위반이다.

이에 따라 법조계는 티빙이 감당해야 할 행정 처분의 무게가 결코 가볍지 않다고 입을 모았다. 법(제64조의2)에 따르면 개인정보가 유출됐을 때 전체 매출액의 최대 3% 이하를 과징금으로 부과할 수 있다.

대법원 판례에 비추어 볼 때, 티빙 서비스 전체 매출액이 산정 기준이 될 가능성이 높다. 수천억 원대 매출을 올리는 티빙 규모와 유출된 정보의 민감성, 암호화 무력화 등을 종합하면 수백억 원 규모의 과징금 철퇴가 내려질 가능성이 농후하다.

분노한 이용자들, 집단소송 나서면 '천문학적' 배상 책임

유출 피해자들의 시선은 이제 민사 소송으로 쏠린다. 이번 사안처럼 피해 규모가 크고 민감한 정보가 새어 나갔다면, 이용자들은 법정손해배상을 통해 피해를 구체적으로 증명하지 않아도 최대 300만 원 범위에서 손해액을 인정받을 수 있다.

특히 CI 정보가 유출된 1324만 명이 명의도용이나 계정 탈취 등 2차 피해 공포를 겪고 있는 만큼 정신적 손해가 폭넓게 인정될 여지가 크다.

만약 암호화키를 방치한 중과실이 법정에서 인정된다면, 손해액의 최대 3배를 묻는 징벌적 손해배상까지 더해질 수 있다.