티빙 3954만건 해킹 유출, 형식적 보상에 탈퇴회원은 '나몰라라'

국내 대표 OTT 플랫폼 티빙이 해킹 공격으로 3954만건의 고객 계정 정보가 유출되는 초대형 개인정보 침해사고를 겪었다. 그러나 탈퇴 회원을 보상 대상에서 제외하고, 현 이용자에게는 실효성 없는 포인트 보상만 제공하면서 기업의 형식적 사후대응과 피해자 구제 공백이 도마 위에 올랐다.

---

사고 개요: OTT 역대 최대 규모 유출

2023년 발생한 이번 해킹 사고는 국내 OTT 서비스 역사상 최대 규모의 개인정보 유출 사건으로 기록됐다. 3954만건이라는 수치는 티빙의 누적 가입자 수를 고려할 때 현재 이용자는 물론 과거 탈퇴 회원의 정보까지 광범위하게 포함된 것으로 추정된다.

유출된 정보에는 이메일, 비밀번호, 연락처 등 계정 식별 정보가 포함된 것으로 알려졌으며, 이는 크리덴셜 스터핑(Credential Stuffing) 등 2차 피해로 이어질 가능성이 높아 이용자들의 우려가 커지고 있다.

---

쟁점 분석: 보상 체계의 구조적 문제

1. 탈퇴 회원 배제 논란

가장 큰 논란은 탈퇴 회원이 보상 대상에서 완전히 제외됐다는 점이다. 개인정보보호법 제39조의2에 따르면 정보통신서비스 제공자는 이용자의 개인정보 유출로 인한 손해를 배상할 책임이 있다. 여기서 '이용자'의 범위를 현재 서비스 이용자로 한정할 법적 근거는 없다. 탈퇴 회원 역시 해당 기업에 개인정보를 제공했던 정보주체로서 동등한 피해자이기 때문이다.

2. 포인트 보상의 실효성 부재

현 이용자에게 제공된 포인트 보상 역시 비판을 피하기 어렵다. 자사 서비스 내에서만 사용 가능한 포인트는 실질적 손해 전보(塡補)가 아닌 마케팅 수단에 가깝다. 이는 피해 구제라기보다 고객 이탈 방지를 위한 '락인(Lock-in)' 전략으로 해석될 수 있어, 진정성 있는 사과와는 거리가 멀다는 지적이다.

---

공통 패턴: 반복되는 '사후약방문'

이번 사례는 국내 기업들의 개인정보 침해사고 대응에서 반복적으로 나타나는 문제점을 고스란히 보여준다.

• 형식적 통지: 유출 사실 통보에 그치고 구체적 피해 범위는 불투명
• 최소 비용 보상: 실질적 손해배상 대신 자사 서비스 쿠폰·포인트 제공
• 선별적 피해자 인정: 연락 가능한 현 이용자 중심 대응, 탈퇴자는 사각지대

---

기업·기관 대응 방안

기업 측면에서는 침해사고 대응 체계의 근본적 재설계가 필요하다. 개인정보 파기 의무(보유기간 경과·목적 달성 시)를 철저히 이행했다면 탈퇴 회원 정보 유출 규모는 크게 줄었을 것이다. 또한 보상 체계는 현금성 배상, 신용모니터링 서비스 제공 등 실효성 있는 방안으로 전환해야 한다.

규제기관은 과징금 산정 시 사후대응의 성실성을 주요 감경·가중 요소로 반영하고, 탈퇴 회원을 포함한 전체 피해자 구제를 유도하는 가이드라인 마련이 시급하다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제21조(개인정보의 파기) - 개인정보처리자는 보유기간 경과, 처리 목적 달성 등 개인정보가 불필요하게 되었을 때 지체 없이(정당한 사유가 없는 한 5일 이내) 파기해야 한다. 탈퇴 회원 정보가 대량 유출된 것은 파기 의무 미이행 또는 보유기간 과다 설정의 결과일 수 있으며, 이는 ISMS-P 인증심사 시 '개인정보 파기(3.4.2)' 항목에서 중요하게 점검되는 통제 영역이다.

---

백남정 기자 privacynews@example.com