[태그:] KISA

티빙 유출 규모로 처음 발표된 3954만건이라는 숫자. 이게 다 같은 계정은 아니었다. 과기정통부와 KISA가 3일 함께 발표한 민관합동조사단 조사결과에 따르면, 발표된 3954만개에는 다수 중복이 포함돼 있었다. 정확한 유출 규모는 개인정보보호위원회 조사를 통해 확정된다.

민관합동조사단은 이같은 사실을 공식 확인하면서도, 발표 직후 쏟아진 ‘부풀려진 수치’ 논란과는 다른 결을 보여줬다. 과기정통부 임정규 정보보호네트워크정책관은 이날 브리핑에서 ‘초기 발표 수치는 중복 포함된 것으로, 실제 피해 규모는 개인정보위 조사에서 확정될 예정’이라고 답했다. KISA 측 답변자인 박용규 디지털위협대응본부장도 같은 자리에서 ‘조사가 마무리되면 정확한 숫자가 나올 것’이라고 덧붙였다.

필자가 이 자리에서 가장 의미 있다고 본 건, 단순히 숫자가 부풀려졌다는 사실 자체가 아니다. 진짜 핵심은 발표자와 질문자가 같은 자리에서 ‘정확한 규모는 아직 모른다’는 전제로 다시 출발했다는 점이다. 정보 유출 사고가 터지면 보통 첫날 수치가 가장 큰 화제를 모으고, 그 다음날 수정·해명이 따라오는 패턴이 반복된다. 티빙 유출도 같은 흐름을 밟은 셈이다.

다만 숫자보다 더 무거운 화두는 따로 있었다. Q&A에서 집중된 질문은 ‘초기 알람을 왜 무시했느냐’였다. 조사단에 따르면 1차 공격 시도 당시 티빙 시스템에서 CPU 사용률 100% 급상승 알람이 발생했다. 그런데 임정규 정보보호네트워크정책관은 ‘당시 이를 해킹이 아닌 일반적 시스템 오류로 판단했고, 후속 보안 조치가 이뤄지지 않았다’고 직접 인정했다.

이 한 문장이 티빙 유출 사고의 본질을 보여준다. 알람이 울렸는데 사람이 읽지 못했고, 읽었다고 해도 오판했고, 오판을 바로잡을 절차가 없었다. 침해사고 대응에서 가장 비싼 실수는 뚫린 이후의 조치가 아니라, 뚫리는 그 순간을 놓친 일이다. 실무자 입장에서 눈에 띄는 건, 이게 티빙만의 문제가 아니라 모니터링 체계와 에스컬레이션 룰을 운영하지 않는 국내 주요 OTT·플랫폼 전반의 구조적 약점이라는 점이다.

Q&A 후반부에서는 제재 수위와 책임 소재가 쟁점으로 떠올랐다. 현행 정보통신망법 위반 시 과징금과 형사처벌이 가능하지만, 3954만건이라는 첫 수치가 조정될 경우 제재 규모도 달라질 수 있다. 민관합동조사단은 ‘제재 수위는 개인정보위 결과를 보고 결정된다’는 입장만 반복했다.

이번 조사결과는 티빙 유출 사건의 초기 탐지·대응 역량 부족을 공식적으로 시사하는 사례다. 단순한 해킹 사건이 아니라 ‘알람이 울렸는데 못 들은’ 사건이라는 점에서, 티빙 유출은 업계 전반의 인시던트 대응 매트릭스 재점검 필요성을 제기한다. 9월 3일 발표된 1차 티빙 유출 수치 3954만건이 확정값이 아닐 수 있다는 점도 분명히 기억해야 한다. 1차 발표 수치, 중복 제외 후 실측값, 개인정보위 최종 확정값 — 이 세 숫자가 한 자릿수까지 맞아떨어질지는 아직 모른다.