티빙 개인정보 유출 사실 통지 안내문.

이용자 12만여명이 티빙을 상대로 손해배상 소송에 나섰다. 역대 네 번째 규모의 개인정보 유출 사고인데도 예상 과징금은 최대 100억원대에 그쳐 솜방망이 논란이 거센 가운데, 피해자들이 직접 책임을 묻고 나선 것이다.

23일 법조계에 따르면 법무법인 지향은 지난 18일 피해자 10만4522명을 대리해 서울중앙지법에 손해배상 청구 소송을 제기했다. 위임 인원은 12만6500여명을 넘어섰다. 원고는 11일 1051명에서 15일 4만9537명, 18일 10만4522명으로 일주일여 만에 100배 넘게 불었다. 소송 제기 이후에도 참여 문의가 이어지고 있어 규모는 더 늘어날 전망이다.

티빙 해킹으로 개인정보가 유출된 인원은 1953만명으로 추산된다. 쿠팡(약 3756만명), 싸이월드·네이트(약 3500만명), SK텔레콤(약 2324만명)에 이은 역대 네 번째 규모다. 정부 초기 잠정치 1300만명보다 650만명 이상 늘어난 수치로, 티빙의 유료 가입자 수(약 500만명)와 월간 활성 이용자 수를 크게 웃돈다. 탈퇴 회원이나 휴면 계정까지 유출 대상에 포함된 것으로 정부는 보고 있다.

피해자 측은 티빙이 개인정보보호법상 안전조치의무를 위반했다고 주장한다. 아마존웹서비스(AWS) 액세스 키를 부실하게 관리하고, 시스템 로그인 자격증명을 공유 플랫폼 깃허브에 노출된 채 방치했다는 것이다. 해커가 약 21시간 동안 내부 시스템에서 데이터를 빼가는 동안 이를 탐지하지 못한 점도 도마에 올랐다.

유출된 연계정보(CI)의 위험성도 쟁점이다. CI는 주민등록번호를 복원 불가능하게 암호화한 값으로, 다른 개인정보와 결합되면 신원도용이나 보이스피싱 등 2차 피해로 이어질 수 있다. 다만 CI만으로는 사칭이 어렵다는 반론도 있어 법정에서 위험성을 둘러싼 공방이 예상된다.

배상 규모도 관심사다. 지향은 우선 원고 1인당 위자료 30만원을 청구했으며, 정부 조사 결과에 따라 청구액을 확대하는 방안도 검토하고 있다. 개인정보보호법은 중대한 과실이 인정되면 손해액의 최대 5배까지 물리는 징벌적 손해배상 제도를 두고 있다.

이번 사고는 지난달 30일 티빙이 데이터베이스(DB) 서버에서 이상 징후를 감지하면서 드러났다. 티빙은 이달 2일 비인가 접근에 따른 유출을 확인하고 다음 날 사과문을 발표했다. 티빙 관계자는 "이번 사고로 고객들에게 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "필요한 지원과 보상 등 책임을 다하겠다"고 했다.