[태그:] 최주희

3954만. 이 숫자는 단순한 회계 항목이 아니다. 티빙에서 유출된 계정 정보의 규모다. 국내 OTT 가입자 수를 넘어서는 이 데이터가 어떻게 빠져나갔는지, 회사가 내놓은 해법이 실효성이 있는지 따져볼 필요가 있다.

지난 설명회에서 최주희 티빙 대표는 2030년까지 정보보호 투자를 직전 5년 대비 4배 규모로 확대한다고 공개했다. 함께 발표한 고객 보상 패키지는 최대 300만원 사이버 보험과 콘텐츠 이용 혜택이다. 발표 내용만 놓고 보면 모범 사례로 읽히지만, 실무자 시선에서 보면 몇 가지 짚어야 할 지점이 있다.

티빙 유출 사태, 4배 투자의 기준점이 보이지 않는다

4배라는 비율은 인상적이지만, 기준점이 어디인지가 핵심이다. 직전 5년 평균 투자가 100억이었다면 400억이 되고, 50억이었다면 200억이다. 티빙은 직전 5년 투자 총액이나 연평균 규모를 공개하지 않았다. 비율만 강조한 것은 업계 평균과 비교하기 어렵게 만든다.

비교 기준으로 흔히 쓰이는 것은 동종 OTT나 대형 플랫폼의 매출 대비 정보보호 투자 비율이다. 네이버, 카카오 같은 사업장은 보통 매출 대비 1~3% 수준에서 보안에 투입한다. 티빙 유출 사태 이후 4배 확대가 약속됐을 때, 절대 규모가 업계 평균을 넘어서는지는 별도 공시가 따라야 판단할 수 있다.

사이버 보험 300만원, 보상 실효성은 제한적

고객 보상의 핵심인 사이버 보험은 전 이용자가 자동으로 적용받는 구조가 아니다. 유출 피해를 입은 것으로 확인된 이용자에 한해 최대 300만원까지 보상하는 형태다. 300만원은 피싱, 금전 피해, 신원 도용에 대한 실제 손해액을 입증해야 받을 수 있는 상한선이다.

유출된 정보는 이메일, 이름, 생년월일, 성별, 가입 경로 등 기본 프로필 위주다. 이런 정보는 직접적인 금전 피해로 이어지기 어렵고, 2차 피싱이나 스팸의 재료로 쓰인다. 300만원 보험 한도가 실제 피해액보다 크더라도, 피해 입증 절차가 복잡하면 보상 실효성은 떨어진다.

콘텐츠 이용 혜택은 실손 피해와 별개로, 이용자 이탈을 막는 마케팅 비용에 가깝다. 티빙 유출 대응 패키지치고는 구성에서 “보안”보다 “혜택”이 강조된 인상이다.

보안 거버넌스, 사후 대책보다 평시 체계가 핵심

대규모 유출 사고가 터지면 모든 회사가 비슷하게 움직인다. 사과, 전담 TF, 외부 감사, 투자 확대. 하지만 진짜 평가는 사고 이전으로 돌아가 봐야 한다. 최소 권한 원칙 적용 여부, 비식별 데이터가 다시 식별 가능한 형태로 저장되지 않았는지, 이상 접근 탐지 체계가 있었는지.

이번 티빙 유출은 외부 해킹보다 내부 관리 부실에서 비롯된 측면이 강하다는 게 업계 시각이다. 4배 투자의 상당 부분이 외벽이 아니라 내부 통제와 모니터링에 배분되어야 의미가 있다. 향후 구글·앤스로픽·오픈AI가 공개한 AI 보안 모델 같은 자동화 탐지 기술이 내부 통제 영역에 도입되는지가 실질적인 변화의 신호다.

업계 전반의 보안 투자 전환점이 될 수 있나

OTT 시장이 성숙하면서 경쟁은 콘텐츠 비용보다 신뢰로 이동하고 있다. 한 번 대규모 티빙 유출과 같은 사고가 난 업체는 회복에 수년이 걸린다. 4배 투자 확대와 고객 보상 패키지가 다른 OTT 사업장에도 자극이 될 가능성은 충분하다.

다만, 티빙 유출 이후 규제 기관이 사고 후 사업자에 대해 정보보호 투자 비율 최소치를 의무화하는 방안이 병행되지 않으면, 자발적 확대 선언은 다음 사고 때 또 반복될 공약이 된다. 필자가 이 지점에서 가장 의미 있다고 보는 건, 비율 경쟁이 아닌 절대 규모와 배분 방향이 공개되는지다. 사고 이후 약속만으로 충분한지, 외부 감사 결과를 사업자가 얼마나 투명하게 공개하는지가 향후 검증의 척도가 될 것이다.