- 티빙 유출 건을 포함해 역대급 개인정보 유출로 쿠팡에 사상 최대 과징금이 부과되었으며, 두 사건 모두 대규모 피해자 공동 소송이 과열 양상으로 진행 중입니다.
- 특히 전 국민 공통 식별자인 '온라인 주민번호(CI)' 유출은 서로 다른 사이트의 파편화된 개인정보를 정교하게 결합시키는 보이스피싱 결합 도구로 악용될 우려가 매우 큽니다.
- 피해 당 소송 보상금은 대법원 관례상 10만 원 안팎으로 책정되며, 소송을 위임할 때는 지나치게 간소한 폼보다는 초기 정보를 확실히 요구하는 로펌을 선택하는 것이 실무적으로 유리합니다.
최근 국내 대표 OTT 서비스인 티빙에서 무려 1,953만 건에 달하는 초대형 회원 개인정보 유출 사고가 발생했습니다. 쿠팡 역시 과거 3,700만 명의 대규모 정보 유출 건으로 사상 최대 규모인 6,200억 원의 과징금 처분을 받으면서, 대규모 개인정보 유출에 대한 소비자의 불안감이 극에 달하고 있죠. 이에 따라 피해자 수십만 명이 모여 공동 소송을 추진하는 초유의 사태가 벌어졌습니다. 이번 사태는 단순한 이메일 유출을 넘어 온라인 주민등록번호라 불리는 'CI(연계정보)'까지 한꺼번에 털렸다는 점에서 매우 치명적입니다. 과연 소송에 참여하면 실제로 보상을 받을 수 있을까요? 이 거대 유출 사태의 실체와 대응법을 파헤쳐 봅니다.
역대 4위의 초대형 유출, 지금 무슨 일이 벌어졌나
세상의 모든 지식 언더스탠딩이 최근 핫이슈로 떠오른 티빙과 쿠팡의 대규모 유출 사고를 본격 분석해 드립니다. 먼저 티빙에서 발생한 유출 규모는 무려 1,953만 건에 달합니다. 2,000만 명에 육박하는 수치로 이는 수십 년간 대한민국에서 벌어진 보안 사고 중 역대 네 번째 규모에 해당할 정도로 엄청나게 큽니다. 역대 1위는 쿠팡(3,700만 명대)이었고, 그다음이 싸이월드(3,500만 명대), 그리고 SK텔레콤(2,300만 명) 순이었으니 이번 티빙 사태가 얼마나 큰 규모인지 짐작이 가실 겁니다.
그런데 의아했던 건 현재 티빙의 월간 활성 이용자 수(MAU)가 800만 명 선이라는 점입니다. 이용자는 800만 명인데 정보는 어떻게 1,900만 건이나 털렸을까요? 업계에서는 이미 탈퇴한 회원 계정이나 오랫동안 쓰지 않은 휴면 계정들의 원본 데이터베이스까지 함께 유출되었기 때문인 것으로 보고 있습니다. 규정상 보관 기간이 지났거나 보관할 필요가 없는 정보들이 파기되지 않고 쌓여 있다가 한꺼번에 공격을 당한 셈입니다.
역대 네 번째 규모로 기록된 이번 개인정보 유출 사태의 심각성과 향후 대응 방안을 살펴보았습니다.
유출된 세부 항목들을 살펴보면 이름, 아이디, 비밀번호, 생년월일, 성별, 휴대전화 번호, 이메일, 환불 계좌번호 등이 골고루 포함되어 있습니다. 티빙 측은 휴대폰 번호 끝 네 자리와 이메일 앞부분을 암호화하여 처리했다고 변명하고 있지만, 뒤집어 말하면 사용자의 실명, 로그인 아이디와 패스워드, 그리고 핵심 비식별 연계 코드는 전혀 방어되지 않은 채 온전히 해커에게 넘어갔다는 걸 고백한 꼴입니다.
'온라인 주민번호' CI 유출, 왜 이렇게까지 시끄러운 걸까요?
이번 유출 사건들을 보면서 정보보호 전문가들이 유독 잠을 못 자며 걱정하는 핵심 정보가 하나 있습니다. 바로 'CI(Connecting Information / 연계 정보)'라는 개념입니다. 아마 조금 생소하신 분들이 많을 겁니다. 이 CI는 간단하게 말씀드리자면 '주민등록번호를 암호화하여 대치한 온라인 주민번호' 같은 녀석입니다.
주민번호를 해시 암호화한 수치인 CI는 온라인상에서 개인을 식별하는 고유한 값으로 쓰여 그 유출이 더욱 치명적입니다.
과거 우리나라에선 주민등록번호 사본 제출과 유출이 일상처럼 번지며 큰 물의를 일으켰죠. 이에 정부는 주민등록번호 대신 일대일로 매칭되는 88바이트의 난수 코드인 CI를 발급하여 한국인터넷진흥원(KISA)을 통해 통합 관리하는 대체 제도를 도입했습니다. 주민번호 고유값과 100% 매칭되기 때문에, 일단 한번 형성된 나의 CI값은 죽을 때까지 바꿀 수가 없습니다. 이 CI 정보는 네이버, 쿠팡, 티빙, 금융기관 등 국내의 거의 모든 웹사이트에서 회원 데이터베이스의 동일인 여부를 판정하고 '실명 회원'임을 검증할 때 공통으로 사용됩니다.
여기서 핵심이 뭐냐면 이 CI 값이 유출되는 순간, 영구적인 식별 고리가 해커들 사이에서 공유된다는 점입니다. 해커들이 한 사이트에서 CI와 이메일을 확보하고, 다른 해킹 데이터에서 동일한 CI와 거주 주소, 휴대폰 번호를 끼워 맞추기 시작하면 어떻게 될까요? 파편화되어 흩어져 있던 내 온갖 개인정보 조각들이 100% 한 사람의 그림으로 조립되어 입체적인 '개인 맞춤형 보이스피싱 시나리오'가 완성되는 겁니다. 어병일 디지털 정의 네트워크 대표 등 시민 단체들이 이 CI 제도의 위험성을 경고하며 헌법소원까지 제기해 놓은 이유도 바로 여기에 있습니다.
사상 최대 6,200억 과징금 맞은 쿠팡이 쏘아 올린 소송의 서막
이처럼 피해가 눈덩이처럼 커질 불안 속에서, 소비자들의 분노는 마침내 대규모 소송전으로 번졌습니다. 마침 얼마 전 개인정보보호위원회가 쿠팡의 작년 정보 유출 건에 대해 무려 6,200억 원이라는 사상 초유의 징벌적 성격의 과징금 고지서를 때렸습니다. 이 어처구니없는 규모의 행정 처분으로 쿠팡의 법적 관리 소홀 및 내부 통제 부실 사실이 만천하에 드러났습니다. 심지어 쿠팡의 경우, 회원들이 사이트 내부에서 활동한 기록뿐 아니라 자사 플랫폼을 벗어나 타사 외부 링크를 클릭해 어떤 상품을 보는지까지 이용자 몰래 무단으로 추적 수집해 온 혐의까지 발각되며 처벌 수위를 극도로 키웠습니다.
이 공식 조사 결과는 진행 중인 민사 소송에서 엄청난 결정적 무기가 될 예정입니다. 변호사들이나 법학 교수들의 분석에 따르면, 쿠팡의 사태는 통제 시스템 미비와 직원 관리 책임 등이 국가 기관을 통해 공인된 빼도 박도 못하는 케이스이기 때문에 소비자들이 민사 소송을 제기 시 승소 확률이 매우 높은 편에 속합니다. 티빙의 경우 이제 막 사건 발생 한 달 남짓 지난 초기 단계라 세부 조사 결과가 더 나와봐야 하지만, 일생 바꿀 수 없는 중요 식별 코드인 CI를 비롯해 너무나 디테일한 포괄 정보가 샜기 때문에 역시 승소 개연성은 꽤나 높게 점쳐지고 있습니다.
"나도 진짜 10만 원 받을 수 있을까?" 공동소송 팩트체크와 로펌 고르는 꿀팁
현재 대형 포털과 로펌 커뮤니티에는 쿠팡 피해자 35만 명, 티빙 발생 초기 한 달 만에 10만 명 이상이 도장을 찍으며 법무법인들 간에 피해 고객 모집 경쟁이 아주 뜨겁습니다. 참여자 입장에서는 당연히 '그래서 내가 진짜 보상금을 받는지', '소송 과정에서 생기는 위험은 전무한지'가 가장 중요할 것입니다.
어떤 항목이 유출되었는지 확인하는 절차는 생각보다 복잡하지 않으며, 최소한의 정보 입력으로 피해 사실을 파악할 수 있습니다.
우선 지급받을 수 있는 예상 보상금액 수준부터 짚어보겠습니다. 한국 사법 판례 역사상, 특별한 물질적 금전 피해가 직접 증명되지 않는 한 순수한 '정신적 피해 보상 위자료'는 대법원 관례에 따라 1인당 10만 원 안팎으로 동결되어 있습니다. 2005년 리니지 로그 파일 유출 사건 당시 처음 굳어진 '위자료 10만 원 표준' 가이드라인이 거의 20년 동안 물가 상승 추이도 반영하지 못한 채 기계적으로 반복 적용되고 있는 것이죠.
현재 대다수 로펌은 초기 착수금 단돈 5,000원에서 1만 원 내외를 받거나 아예 착수금은 무료로 설정하고, 최종 승소하여 귀속받을 10만 원 보상금의 약 10~30%를 성공보수 형태로 제하는 경쟁적인 할인 프로모션 폼을 제공 중입니다. 이 과정에서 패소하더라도 상대방 대기업 측의 무지막지한 변호사 수임 소송 비용을 피해자에 독박 씌우지 않는 '면책 패소 약정 조항'을 모두 달고 모객하기 때문에, 소비자가 크게 금전적 손실을 볼 지대적 리스크는 사실상 매우 낮습니다. 가입 신청을 하실 때 유출 화면 캡처, 가입 조회서 혹은 신분증 사본 등 다소 귀찮을 정도로 많은 단계의 개인 인증 정보를 처음에 확실하게 입력받아 대리인 단속을 꼼꼼하게 다듬는 로펌을 신뢰하는 편이 낫습니다. 서식이 지나치게 헐겁고 가입이 쉬운 로펌들은 단순 트래픽 유치용이거나 법정 진행 도중 주소 보정 명령이나 서류 완비 차질로 서류가 줄누락되는 미숙함을 겪기 십상이기 때문입니다.
기업들이 가장 두려워하는 미국식 집단소송, 한국엔 도입될 수 있을까?
우리의 가벼운 '10만 원 일괄 지급'을 보면 솔직히 좀 허탈한 마음이 들잖아요? 하지만 바다 건너 미국 시장으로 가보면 이야기가 완전히 180도 달라집니다. 지난 2021년 미국 통신사 티모바일(T-Mobile)은 고객 사회보장 번호(SSN) 및 인적 사항이 털린 유출 소송에서 스스로의 무덤을 파기 전에 합의금으로 3억 5,000만 달러, 우리 돈으로 무려 5,100억 원 상당의 합의금 배상액을 법정에 입금했습니다. 피해 소비자들의 적극적인 호소에 따라 일인당 최소 수십만 원에서 최대 수백만 원까지 실질 배상이 이뤄진 모범적인 집단소송(Class Action) 선례입니다.
미국에서는 법원이 지정한 대행사를 통해 피해 사실을 확인하고 보상금을 청구하는 방식으로 운영됩니다.
미국은 단 한 명의 피해 대표자가 전개한 싸움을 전체 동일 피해자의 몫으로 똑같이 구제해 주는 '옵트아웃(Opt-out)' 구조를 채택하고 있어, 기소 위임에 공식 사인하지 않은 잠재 고객도 추후 대행사(Kroll 등)의 배분 청구 웹사이트를 통해 아주 손쉽게 조 단위 합의금을 갈라 수령합니다. 당연히 대기업들은 고객 정보를 허투루 들고 있다가 회사 전체 금고가 털리는 파산 상황을 면하기 위해서라도 조 단위의 보안 투자를 감행하는 선순환이 자연스럽게 작동하는 구조입니다.
반면 한국은 증권 거래 분야에만 국한적으로 '증권관련집단소송법'을 운용 중인데, 이마저도 상장법인 주식 거래와 장외 파생 계약 등 극도로 좁은 영역만 대상을 좁혀놓는 데다 절차적 허가 장벽을 통곡의 벽처럼 높게 쌓아둔 탓에 지난 10년간 소송 성립 건수가 단 6건에 머물 정도가 되었습니다. 기업의 남소 우려를 걱정해 보수적으로 쳐둔 울타리 때문에 소비자는 고작 '10만 원'의 푼돈 위자료를 받기 위해 스스로 법률 쇼핑을 하며 서류를 직접 스캔하는 수모를 지속해야 하는 것이죠.
최근 쿠팡 사건을 도화선 삼아 소비자 분야에도 미국식 종합 집단소송 제도를 이식하여 확장 적용하자는 법령 개정안이 국회 법사위에 계류 중이고 공청회가 일부 시도되고 있습니다. 남소를 향한 우려보단, 잘못한 비행에 비례해 정당하게 벌하고 책임지는 일괄적인 경제 사법 정의의 일관성이 서길 간절히 바라는 소비자들의 목소리가 한 점으로 집중되는 순간입니다.
FAQ
내 정보가 티빙이나 쿠팡에서 정말 유출되었는지 어떻게 확인하나요?
티빙 및 쿠팡 공식 웹사이트 또는 앱 대시보드로 접속하시면 '개인정보 유출 내역 조회'를 제공하는 전용 메뉴가 마련되어 있습니다. 여기서 본인 인증을 거쳐 유출 여부와 유출된 상세 항목들을 직접 확인하실 수 있습니다.
공동소송에 참여했다가 오히려 패소하면 상대방 변호사 비용까지 독박을 쓰게 되나요?
통상적인 소송 패소 시 패소자가 소송 비용을 부담하는 원칙이 있으나, 현재 대다수 로펌이 과열 경쟁 상태이므로 계약서나 모집 안내 상에 '패소 시 상대방 변호사 비용 등 소송 부담금은 없다'는 면책 특별 단서를 달고 있습니다. 반드시 위임 약관의 해당 조항을 꼼꼼히 확인하고 신청하시는 것을 추천합니다.
CI(연계정보)가 유출되면 당장 제 주민등록번호 자체를 바꾸기라도 해야 하나요?
CI는 주민등록번호를 수학적으로 단방향 해시 암호화한 값이기 때문에, 해커가 CI 자체를 가지고 주민등록번호 뒷자리 등의 원본 번호를 완벽하게 역추적하거나 알아낼 수는 없습니다. 다만, 다른 개인정보와의 조합을 막기 위해 추후 CI 활용 방식에 대한 제도적 변화가 대두되는 상황입니다.
원본 영상 보기
