개인정보 또 유출됐는데…팬은 떠나기 어려운 위버스 [이슈]

위버스샵 구매자 일부 피해…통합 서비스 사과문엔 대상 설명 빠져

피해자 이메일 통지했지만 별도 푸시 없어…공지 접근성 문제 반복

멤버십·상품 구매·행사 신청 연결…팬 활동에 걸맞은 보호 책임 필요

팬 플랫폼 위버스에서 개인정보가 다시 유출됐다. 이번 피해 대상은 위버스샵 구매 이력이 있는 회원 일부였지만 공개 사과문에는 이 설명이 빠졌다. 위버스와 위버스샵이 하나의 계정으로 연결된 상황에서 이용자가 자신과 관련된 사고인지 판단하는 데 필요한 정보가 충분히 제공되지 않은 것이다. 지난 1월 내부 직원의 개인정보 유출 당시 제기됐던 공지 접근성 문제도 반복됐다.

7일 데일리안 취재에 따르면 이번에 정보가 유출된 대상은 위버스샵에서 상품을 구매한 이력이 있는 이용자 중 일부다. 구매 이력이 없는 위버스 가입자는 이번 피해 대상에 해당하지 않는다.

회사가 공개한 사과문에 따르면 유출 규모는 계정 ID 기준 42만 2584건으로, 결제 수단과 구매 금액·일시 등의 거래 정보도 함께 노출됐다. 그러나 사과문은 유출 규모와 정보 항목을 나열하면서도 피해 대상이 위버스샵 구매자 일부라는 점은 명시하지 않았다. 위버스에서 아티스트의 글이나 라이브만 보고 상품을 구매하지 않은 이용자는 자신이 이번 피해 범위에서 제외된다는 사실을 공지만으로 알기 어렵다.

ⓒ위버스컴퍼니

회사는 피해자에게 이메일로 개별 통지했다고 밝혔다. 다만 어떤 서비스의 이용자가 영향을 받았는지 설명하지 않으면 가입한 모든 사람이 자신이 확인해야 할 대상인지부터 다시 알아봐야 한다.

사과문에 접근하는 과정도 매끄럽지 않았다. 글을 보려면 위버스샵 화면 하단의 공지사항 메뉴에 들어가야 하며 위버스 앱 화면 상단에서는 개인정보 유출 안내 배너가 확인하기 어려웠다. 별도의 푸시 알람 역시 오지 않았다. 공개 안내에서도 피해 대상의 범위를 설명하지 않으면서 사고를 인지하고 자신과의 관련성을 확인하는 부담이 이용자에게 남았다.

이런 문제는 처음이 아니다. 위버스는 지난 1월 내부 직원이 팬의 개인정보를 사적으로 공유한 사실을 인정하고 사과했다. 당시 직원은 특정 팬사인회 응모자의 이름과 출생연도를 지인들에게 전달했고 다른 공개방송 당첨자 30명의 이름·생년월일·전화번호가 담긴 명단도 공유했다.

당시에도 공지는 아티스트별 커뮤니티나 푸시 알림을 통해 전달되지 않았다. 앱의 ‘더보기’에서 설정과 서비스 정보 등을 거쳐 공지사항을 찾아야 해 이용자가 사과문을 발견하기 어렵다는 문제가 제기됐다. 이번에는 위버스샵 공통 공지에 사과문이 게시됐지만 사고 안내를 이용자가 쉽게 접할 수 있었는지는 다시 문제로 남았다.

양주일 위버스컴퍼니 대표이사 ⓒ하이브

그렇다고 팬이 정보 보호에 대한 불안을 이유로 이용을 중단하기도 쉽지 않다. 위버스는 아티스트 소통과 공식 멤버십, 상품 구매, 행사 신청을 연결해 운영한다. 팬은 하나의 앱에서 여러 활동을 할 수 있지만 반대로 말하면 특정 활동에 참여하기 위해 서비스를 계속 이용해야 하는 구조이기도 하다.

지난 6일 서울 강서구 등촌동 SBS 공개홀에서 진행된 세븐틴 디노의 ‘인기가요’ 사전녹화가 한 사례다. 280명을 모집한 이 행사는 공식 팬클럽 멤버십 가입과 지정 앨범의 위버스샵 구매, 공식 응원봉 소지를 신청 조건으로 제시했다.

이 같은 행사에 참여하려는 팬에게는 다른 판매처에서 앨범을 사거나 다른 소통 서비스를 이용하는 것이 대안이 되지 못한다. 위버스 이용을 중단하면 해당 행사에 신청할 기회도 포기해야 하기 때문이다. 팬 활동을 이어가기 위해 정보를 제공하는 구조에서 유출 이후의 대응을 이용자의 탈퇴 여부에만 맡길 수 없는 이유다.

하이브 사옥 ⓒ데일리안 방규현 기자

지난 1월 사고와 이번 사고의 원인과 유출 항목은 다르다. 당시 회사는 내부 직원의 정보 열람 권한 제한과 감독·교육 강화를 발표했다. 이번에는 결제 정보 처리 기능의 접근 통제를 강화했으며 외부에 노출되는 시스템 연결 기능 전반을 조사하고 보안 감시를 강화하겠다고 밝혔다.

다만 내부 직원의 무단 이용이든 외부의 불법 접근이든 팬이 맡긴 정보를 보호할 책임은 플랫폼에 있다. 팬 활동을 한곳으로 모은 만큼 정보 수집과 이용의 편의뿐 아니라 보호와 사고 안내도 그에 맞게 설계해야 한다. 어떤 이용자가 영향을 받았고 무엇을 확인해야 하는지 이후 어떤 조치가 이뤄졌는지를 팬이 쉽게 알 수 있어야 한다. 팬이 계속 서비스를 이용한다는 사실을 정보 보호에 대한 신뢰가 회복됐다는 뜻으로 받아들여서는 안 된다.