OTT가 일상적인 콘텐츠 소비 수단으로 자리 잡으면서 이용자 정보를 안전하게 보호하기 위한 플랫폼의 보안 역량이 중요해지고 있다. 서비스 이용 과정에서 축적되는 개인정보와 결제 정보가 늘어나는 데다 계정 하나로 여러 서비스를 이용하는 연동 방식도 확산되고 있기 때문이다.
14일 업계에 따르면 최근 대규모 개인정보 유출 사고가 잇따르면서 플랫폼 사업자들은 보안 투자 확대와 인증 체계 구축, 이상 로그인 탐지 등 이용자 보호를 위한 대응 역량 강화에 속도를 내고 있다.
◆티빙 대규모 유출…드러난 보안 허점
OTT 업계의 보안 문제를 수면 위로 끌어올린 대표적인 사례는 티빙의 개인정보 유출 사건이다. 티빙은 지난 6월 이용자 정보 데이터베이스(DB)에 대한 비정상적인 접근으로 총 3954만 계정의 정보가 유출된 사실을 확인했다. 유출된 계정은 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다. 계정 수를 기준으로 집계한 만큼 한 명의 이용자가 여러 계정을 보유한 경우 중복 집계될 수 있다.
문제는 침입 과정에서 내부 보안 관리의 허점이 드러났다는 점이다. 개발자가 접속키를 탈취한 뒤 내부 소스코드에 방치돼 있던 운영서버 키와 데이터베이스 접속 비밀번호를 이용해 시스템에 접근했다. 티빙은 앞서 보안 취약점을 인지하고도 적절한 조치를 하지 않았다는 지적을 받았다. 2024년 모의해킹 과정에서 접속키를 소스코드에 노출하는 취약점이 지적됐지만 이를 보완하지 않았다.
티빙은 사고 이후 보안 체계를 근본적으로 재정비하겠다는 방침을 내놨다. 정보보호 투자와 보안 인력을 확대하고 제로 트러스트 기반의 보안 체계를 다시 구축하는 한편 조직 거버넌스와 보안 문화를 재정립하기로 했다. 외부 전문기관과의 협력을 통한 전문성 강화도 추진한다. 특히 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 확대하고, 전문 인력도 현재의 3배 수준으로 늘린다는 계획이다.
◆쿠팡플레이도 ‘연동 계정’ 보안 우려
보안에 대한 이용자의 불안은 쿠팡플레이에서도 나타났다. 지난해 모회사 쿠팡에서 대규모 개인정보 유출 사고가 발생하면서 쿠팡 계정과 연동된 쿠팡플레이에 대한 우려도 커졌다. 쿠팡이 공식적으로 인정한 유출 정보에는 이름과 전화번호, 배송지, 이메일, 주문 정보 등이 포함됐다. 비밀번호와 결제 정보 등 민감한 정보는 유출되지 않았다는 게 회사 측 설명이지만, 유출된 정보가 스미싱이나 피싱 등 2차 공격에 활용될 가능성이 제기됐다.
쿠팡플레이는 별도의 가입 절차 없이 쿠팡 계정으로 이용할 수 있는 구조다. 하나의 계정으로 여러 서비스를 편리하게 이용할 수 있다는 장점이 있지만 핵심 계정이 탈취되면 연동된 서비스까지 위험에 노출될 수 있다는 취약점도 있다.
쿠팡 역시 사고 이후 보안 역량 강화에 나섰다. 지난해 12월 사이버 위협 인텔리전스(CTI), 보안 거버넌스·리스크 관리(GRC), 블루팀 등 시니어급 보안 인력을 잇달아 채용했다. 침해사고 대응뿐 아니라 내부 보안 통제 체계 구축과 최고경영자·이사회 보고 경험 등을 채용 요건으로 제시하면서 보안을 단순한 기술 문제가 아닌 경영 리스크로 관리하려는 움직임으로 풀이된다.
◆넷플릭스도 선제 대응…“계정 지켜라”
국내 OTT 시장에서 독주하고 있는 넷플릭스 역시 보안 강화에 힘을 쏟고 있다. 넷플릭스는 정보보호관리체계(ISMS) 인증을 보유하고 있으며, 정보보호 투자와 전담 인력도 확대하는 추세다.
정보보호 공시에 따르면 넷플릭스코리아의 IT 인력은 2024년 8명에서 2025년 15명으로 늘었다. 넷플릭스 그룹의 정보보호 투자 규모도 같은 기간 2261억원에서 2588억원으로 증가했으며, 정보보호 전담 인력은 250명에서 269명으로 확대됐다.
이용자 계정을 겨냥한 공격에도 대응하고 있다. 인터넷에 게시된 계정 아이디와 비밀번호 정보를 상시 모니터링하고 의심스러운 활동이 발견되면 비밀번호 변경을 안내한다. 새로운 기기에서 로그인할 경우 이용자에게 알림을 제공하는 등 계정 탈취를 사전에 차단하기 위한 체계를 운영하고 있다.
보안업계에서는 OTT 사업자의 보안 경쟁력이 향후 이용자 신뢰를 좌우할 것으로 보고 있다. 특히 최근에는 플랫폼 자체를 직접 공격하기보다 다른 서비스에서 유출된 아이디와 비밀번호를 활용해 로그인을 시도하는 크리덴셜 스터핑 공격도 위협으로 꼽히고 있다.
한 보안 전문가는 “플랫폼 사업자는 이상 로그인 탐지와 비밀번호 변경 안내, 인증 체계 고도화 등을 통해 피해를 최소화해야 한다”며 “이용자 역시 서비스마다 다른 비밀번호를 사용하는 등 기본적인 보안 수칙을 지킬 필요가 있다”고 말했다.
OTT 시장이 커질수록 플랫폼이 보유하는 이용자 데이터 역시 늘어날 수밖에 없다. 업계에서는 콘텐츠 경쟁력뿐 아니라 개인정보 보호와 계정 보안에 대한 투자를 확대하고, 사고 발생 이후 대응보다 취약점을 사전에 찾아 개선하는 체계를 갖추는 것이 필요하다는 목소리가 나온다.
[ⓒ 세계비즈앤스포츠월드 & sportsworldi.com, 무단전재 및 재배포 금지]
