[이데일리 윤정훈 기자]토종 대형 OTT(온라인동영상서비스) 플랫폼 ‘티빙’을 상대로 한 대규모 집단 손해배상 청구 소송이 제기됐다. 소스코드 공유 플랫폼에 시스템 로그인 자격증명을 방치하는 등 기본적인 안전조치 의무를 위반해 대규모 유출 사태를 자초했다는 취지다.

법무법인 지향은 11일 티빙의 개인정보 유출로 피해를 입은 이용자 1051명을 대리해 서울중앙지법에 손해배상 청구 소송을 제기했다고 밝혔다. 이번 소송에서 지향 측은 원고 1인당 30만원의 위자료를 우선 청구(일부 청구)했으며, 향후 정부의 구체적인 조사 결과에 따라 청구 금액을 확대할 방침이다.

지향 측은 이번 사태가 단순한 외부 해킹이 아닌, 기초적인 보안 조치조차 이행하지 않은 기업의 ‘명백한 인재’이자 ‘기만적 약관 운영의 결과’라고 지적했다.

티빙은 시스템 로그인 자격증명을 소스코드 공유 플랫폼인 ‘깃허브(GitHub)’에 하드코딩 방식으로 방치하고, 아마존웹서비스(AWS) 접근 키 관리를 소홀히 해 해커에게 내부망 권한을 사실상 열어줬다는 의혹을 받고 있다. 특히 해커가 내부 통제권을 장악하고 대규모 데이터를 무단 조회·탈취하는 21시간 동안 티빙의 보안 관제 및 모니터링 시스템은 이를 전혀 탐지하지 못한 것으로 알려졌다.

유출된 정보의 위험성도 도마 위에 올랐다. 지향 측은 “이름과 연락처를 넘어 CI(Connecting Information, 연계정보)가 유출됐다”며 “CI는 각 개인에게 고유하게 부여되는 ‘디지털 주민등록번호’로, 한 번 유출되면 주민등록번호를 바꾸지 않는 이상 영구적으로 교체나 폐기가 불가능하다”고 설명했다.

특히 다크웹 등에서 유출된 CI가 다른 해킹 정보들과 결합될 경우, 정교한 신원 특정과 보이스피싱 등 심각한 2차 범죄로 직결될 수 있다.

아울러 지향 측은 티빙의 기만적인 개인정보 약관 운영도 소송 이유로 꼽았다. 서비스 본질과 무관한 콘텐츠 추천 등을 목적으로 방대한 이용기록 수집을 강제하고, 맞춤형 광고 동의를 거부하면 서비스 업데이트 고지조차 받지 못하도록 연계했다는 주장이다. 또한 제3자 정보 제공 동의란을 화면 깊숙이 은폐해 이용자의 선택권을 침해했다고 덧붙였다.

이번 사태는 티빙을 넘어 OTT 업계 전반으로 전선이 확대될 전망이다. 법무법인 지향은 넷플릭스 등 해외 거대 OTT 사업자들 역시 이용자 정보를 타깃 마케팅에 활용하기 위해 과다 수집하고 있는 정황을 확인, 조만간 개인정보보호위원회에 신고서를 제출하고 시정명령을 촉구할 계획이다.

법무법인 지향 대리인단은 “국내 대표 OTT 사업자가 방대한 정보를 수집하면서도 기초적인 자물쇠조차 채우지 않은 것은 용납할 수 없는 일”이라며 “이번 소송을 통해 기업의 정보보호 불감증에 강력한 경종을 울리고, 피해자들의 정당한 배상을 이끌어 내겠다”고 밝혔다.

한편 법무법인 지향은 과거 홈플러스의 개인정보 불법 판매 사건 승소를 이끌어낸 바 있으며, 현재 롯데카드·쿠팡 개인정보 유출 관련 집단소송 및 구글·애플의 인앱결제 수수료 정책에 맞선 국내 콘텐츠 사업자 대리 소송 등을 진행하고 있다.