CJ ENM, 3년간 ISMS 인증 컨설팅에 4억7천500만원…그 기간에도 임직원 정보는 새고 있었다

“개인정보보호 점검 특이사항 없음” 이사회 보고 두 달여 만에 티빙 CI 유출

CJ ENM이 최근 3년간 회계법인에 4억7천500만원을 들여 정보보호 관리체계(ISMS) 인증 컨설팅을 받고, 올해 3월 이사회에는 “개인정보보호 모니터링 결과 특이사항 없음”이라고 보고까지 마친 것으로 확인됐다.

그로부터 두 달여 만에 자회사인 티빙(TVING)의 회원 정보가 해킹으로 통째로 빠져나갔고, 그사이 임직원 정보는 이미 3년째 텔레그램에 새고 있었다.

서류 위의 ‘이상 무’와 현실의 ‘보안 붕괴’가 정면으로 충돌하면서 이재현 회장이 내건 ‘플랫폼’ 비전의 신뢰도가 흔들리고 있다.

10일 금융감독원 전자공시시스템에 따르면 CJ ENM은 외부감사인과의 비감사용역으로 ‘ISMS 인증 컨설팅’ 계약을 세 차례 맺었고, 용역 수행 기간은 2023년 12월부터 2025년 2월까지 이어졌다. 보수는 2023년 12월 1억4천200만원, 2024년 11월 1억5천300만원, 2024년 12월 1억8천만원 등 총 4억7천500만원으로, 당시 감사인이었던 삼정회계법인이 수행했다.

■ “특이사항 없음” 보고 두 달여 만에…자회사 티빙서 1천300만명 털렸다

억대 컨설팅만이 아니다. CJ ENM이 지난 3월 18일 제출한 사업보고서를 보면 준법지원인(법무·컴플라이언스 담당 임원)은 지난해 준법통제 모니터링 항목에 ‘개인정보보호 현황 모니터링’을 포함해 점검한 결과 “특이사항 없음”으로 지난 3월 10일 이사회에 보고했다.

‘CJ인의 약속’ 등 임직원 컴플라이언스 교육 연 43회, 법률상담 4천936건(엔터테인먼트 부문) 등 화려한 준법 활동 실적도 보고서에 함께 담겼다.

CJ ENM은 2025년 연결 기준 매출 5조1천345억원, 영업이익 1천329억원으로 실적 개선을 알렸지만, 별도 기준 1천105억원의 당기순손실을 이유로 3년 연속 배당을 하지 않았다. 주주들이 사업보고서에서 확인할 수 있었던 보안 관련 설명은 사실상 ‘특이사항 없음’이 전부였다.

서류 위의 ‘이상 무’를 무색하게 만든 것은 자회사였다. 이달 초 신원 미상의 해커가 티빙 개인정보 데이터베이스(DB)에 직접 침입해 파일을 외부로 빼돌렸다. 티빙은 CJ ENM이 지분 48.85%를 보유한 최대주주로서 실질 지배력을 행사하는 종속회사다.

자회사 플랫폼이 뚫리면서 억대 보안 컨설팅을 받아 온 모회사 CJ ENM의 정보보호 체계가 함께 도마에 오른 배경이다. 티빙은 지난 2일 이를 인지하고 3일 새벽 팝업으로 공지했는데, 비정상적인 데이터 조회가 시작된 때부터 회사가 알아차리기까지 21시간이 걸린 것으로 알려졌다.

공지된 유출 항목은 아이디, 이름, 생년월일, 성별에 더해 ‘온라인 주민등록번호’로 불리는 연계정보(CI)와 중복가입확인정보(DI), 환불 계좌번호(암호화), 비밀번호(단방향 암호화) 등 회원 신원정보 전반에 걸친다.

업계에 따르면 유출 규모는 약 1천300만 명으로 추산된다. 당국 조사로 확정된 수치는 아직 아니다. 월간활성이용자(MAU·약 880만 명)를 훌쩍 웃도는 수치로, 휴면 계정과 무료 회원 정보까지 통째로 빠져나간 것으로 추정된다.

침입 경로와 관련해서는 과거 개발 과정에서 아마존웹서비스(AWS) 접근 키가 오픈소스 플랫폼 깃허브에 노출됐던 정황이 드러났고, 티빙 측도 키 노출 사실을 인정하며 삭제 조치했다고 해명했다.

티빙은 2028년까지 유효한 자체 ISMS 인증을 보유한 상태에서 뚫린 것이어서, 모회사의 억대 인증 컨설팅과 함께 인증 제도의 실효성 논란까지 재점화됐다. 과학기술정보통신부는 이번 사고를 ‘중대 침해사고’로 규정하고 민관합동조사단을 꾸렸으며, 개인정보보호위원회도 조사에 착수했다.

참여연대가 집단소송제 도입을 촉구하는 등 파장도 갈수록 커지고 있다. 지난 4일 CU편의점택배 운영사 BGF네트웍스에서도 CI가 포함된 회원 정보가 유출되는 등 플랫폼 기업 해킹이 잇따르는 상황이지만, 억대 보안 투자와 ‘이상 무’ 보고가 무색해진 CJ를 향한 시선은 유독 따갑다.

사고를 감당해야 할 티빙의 체력도 바닥이다. 티빙은 2025년 매출 4천60억원으로 전년(4천355억원) 대비 6.8% 줄었고, 당기순손실은 893억원으로 전년(771억원)보다 오히려 불어났다. 누적 결손금은 5천97억원에 달한다. 신뢰 추락에 따른 가입자 이탈이 현실화하면 흑자 전환 시점은 더 멀어질 수밖에 없다.

■ 여직원 사진 2천장, 3년간 아무도 몰랐다…그룹 전체로 번진 불신

티빙이 외부의 적에게 뚫렸다면, 그룹 안에서는 더 오래된 유출이 조용히 진행되고 있었다. 지난달 한 텔레그램 채널에서 CJ그룹 여러 계열사의 전·현직 여성 직원 330여 명의 얼굴 사진 약 2천 장과 휴대전화 번호, 부서, 직급 등이 공유된 사실이 확인됐다.

그룹 임직원이면 누구나 조회할 수 있는 공통 내부망에서 연락처를 모으고 카카오톡 프로필로 사진까지 수집한 수법이라 내부자 소행에 무게가 실린다. CJ 측은 경찰 수사 의뢰 방침을 밝혔다.

유출이 시작된 것으로 추정되는 시점은 2023년. CJ ENM이 억대 컨설팅을 받고 “특이사항 없음” 점검을 반복하던 바로 그 3년이다. 법인별 점검이 아무리 돌아가도, 계열사가 함께 쓰는 시스템의 구멍은 어느 회사도 잡아내지 못했다.

그래서 시선은 그룹 정보시스템을 도맡아 온 곳으로 향한다. IT서비스 계열사 씨제이올리브네트웍스는 감사보고서에 “CJ그룹 등의 정보시스템 업무에 관한 종합관리용역 계약을 체결해 전산화와 관련된 업무용역을 제공하고 있다”고 적고 있다.

공정거래위원회 공시 기준으로 지난해 CJ ENM과 870억원, 티빙과 347억원 등 국내 계열사와 4천700억원대 거래를 전부 수의계약으로 맺었고, 미이행 장기 IT 컨설팅 계약 잔액만 2천798억원에 달한다. 그룹 IT가 한 회사에 집중된 만큼, 임직원 조회망을 포함한 보안 관리의 책임 소재를 가리는 일도 피할 수 없게 됐다.

신뢰 위기는 보안에서 끝나지 않는다. 지난해 9월 연예매체 디스패치는 이재현 회장이 서울 강남 일대에서 연예인·인플루언서 등을 초대해 ‘DJ 파티’를 정기적으로 열었고, 참석 여성에게 외모 평가와 복장 지침이 전달되고 1인당 200만원이 현금 지급됐다는 의혹을 보도했다.

다음 날 국민신문고에 접수된 조사 요구 민원은 문화체육관광부에 배당됐다. 오너의 사생활 논란이 채 가시기도 전에 직원 사진과 고객 신원정보까지 무더기로 새 나가면서, 그룹 안팎의 신뢰는 이중으로 무너진 모양새다.

이 회장이 2021년 11월 직접 발표한 4대 미래 성장엔진(컬처·플랫폼·웰니스·서스테이너빌리티)과 10조원 투자 청사진 가운데 ‘플랫폼’과 ‘지속가능성’은 이번 사태로 직격탄을 맞았다.

업계 관계자는 “억대 보안 컨설팅을 받고 ‘특이사항 없음’을 보고하는 동안 직원 사진과 고객 CI가 빠져나간 것은 보안 투자와 준법 시스템이 형식적으로 작동했다는 방증”이라며 “보고서에 적힌 내용과 실제 통제 수준의 간극부터 해명해야 할 것”이라고 지적했다.