[4차산업행정뉴스=서정용기자]    어제(3일) 과학기술정보통신부는 국내 대표 OTT 기업인 티빙에서 총 3,954만 개 계정의 정보가 유출된 것으로 확인됐다고 민관합동조사결과를 밝혔다. 

이에대해 경실련은 활성 계정만 2,206만 개이며, 휴면·탈퇴 계정과 테스트 계정까지 포함한 규모로, 쿠팡 3,755만 명, SK텔레콤 2,324만 명에 버금가는 대규모 개인정보 유출사고다라고 촉구했다. 

티빙은 포인트와 제휴 쿠폰을 묶은 만원 상당의 ‘보상 패키지’를 제시했지만, 이는 부실한 사전 보안과 사후 대응 책임에 대한 대책으로는 턱없이 부족하다. 

반복되는 소비자 피해를 막고 기업의 책임성을 강화하기 위해서는 피해자가 기업의 실질적인 배상을 쉽게 요구할 수 있어야 한다. 국회는 지체없이 집단소송법을 제정해야 한다.

유출 규모보다 심각한 것은 유출된 정보의 성격이다. 이름과 생년월일, 휴대전화번호, 환불 계좌번호에 더해 주민등록번호를 대신해 개인을 지속적으로 식별·연계할 수 있도록 하는 CI(연계정보)·DI(중복가입확인정보)까지 함께 빠져나갔다. 

이 정보들이 지난해부터 통신사와 카드사, 이커머스에서 쏟아져 나온 정보들과 결합되면, 한 사람의 신원과 생활을 통째로 재구성하는 자료가 될 수 있다. 명의도용과 보이스피싱, 계정 탈취 등 2차 피해로 이어질 가능성도 크다. 고작 만원 상당의 포인트와 제휴 쿠폰으로 책임을 면할 문제가 아니다.

문제는 사고 이후의 대응뿐만 아니라, 사고 이전의 보안관리 역시 심각하게 부실했다는 점이다. 공격자는 모든 개발자에게 열려 있던 개발환경 접속키를 통해 내부로 침투했고, 소스코드에는 데이터베이스 접속 정보가 아무런 암호화 없이 방치돼 있었다. 

보안 모니터링 체계도 제대로 작동하지 않았으며, 정보보호 전담 인력은 단 4명에 불과했다. 수천만 명의 정보를 밑천 삼아 이윤을 거두면서 정작 그 정보를 지킬 인력과 예산은 두지 않았다는 점에서 기업의 심각한 관리 부실이다. 개인정보 보호는 사고 후 사과문이 아니라, 연구개발과 인프라에 미리 투자해 시스템으로 갖춰야 할 기업의 기본 책무다.

티빙은 사전 대비 뿐만 아니라, 사건의 사후 처리도 실패했다. 사건 신고서에 사고 인지 후 23시간 59분 만에 신고한 것으로 기재했으나, 민관합동조사단은 티빙이 5월 31일 오전 10시 10분경 이미 사고를 인지한 것으로 판단했으며, 이에 따라 신고가 법정 기한인 24시간을 약 5시간 넘겼다고 결론 내렸다. 

개인정보보호위원회에 대한 개인정보 유출 신고도 6월 3일 새벽에야 접수됐다. 또한 피해 규모가 당초 1,300만 명에서 1,953만 명으로 크게 늘어나는 등 피해 규모조차 신속하고 정확하게 파악되지 못했다. 늑장 신고로 흘려보낸 시간만큼 피해자의 불안과 위험은 커질 수밖에 없다.

이러한 총체적 부실에도 불구하고 기업은 실질적인 책임을 지지 않는다. 피해 소비자가 개별적으로 시간과 비용을 감수하며 소송을 통해 기업에 책임을 묻기 어렵기 때문이다. 기업으로서는 쿠폰 몇 장 뿌리는 것이 가장 값싼 해결책이 되는 구조다. 

집단소송법은 이러한 대규모 피해를 구제하고 기업의 책임을 강화하기 위한 최소한의 제도적 장치이나, 현행 집단소송제도는 증권 분야에만 제한적으로 적용돼 이번 사건과 같은 피해에는 적용되지 않는다. 정부와 국회가 집단소송법의 범위를 확대하는 입법을 추진하고 있지만 적용 범위와 방식 등을 둘러싼 공방 속에 진행이 지지부진한 상황이다.

국회와 정부는 반복되는 대규모 개인정보 유출사고를 언제까지 방치할 셈인가. 소비자 개인정보를 지키지 못한 기업에 실제 피해 규모에 상응하는 책임을 지도록 하는 제도가 실효화되지 못하면 쿠폰 몇장과 사과문은 반복될 것이다. 개인정보를 지키지 않은 기업이 감당해야 할 책임보다 피해자에게 돌아가는 보상이 더 가벼운 구조를 이제는 끝내야 한다. 국회는 이번 정기국회 내에 집단소송법을 반드시 제정해야 한다.