2023년 국내 대형 학원 강의 영상 700여 개가 DRM 해제 후 유출돼 약 203억 원 규모의 피해가 발생했다. Widevine·FairPlay·PlayReady 멀티 DRM이 왜 선택이 아닌 기본값이 되었는지 살펴본다.
2023년 7월, 국내 유명 입시학원 두 곳의 온라인 강의 영상 약 700개가 DRM을 복호화 키로 해제당한 뒤 유포됐고, 유포자는 이를 빌미로 비트코인을 요구하기까지 했다. 무단 취득한 강의 영상과 전자책을 판매단가 기준으로 환산하면 약 203억 원 규모였다. 이 사건이 상징적인 이유는 단순하다. 콘텐츠가 아무리 좋아도, 한 번 뚫린 DRM은 사업 전체의 매출 구조를 흔들 수 있다는 것을 보여줬기 때문이다. 유료 강의를 판매하는 모든 이러닝 사업자에게 영상 보호 기술은 더 이상 '있으면 좋은 옵션'이 아니라 사업의 전제조건이 됐다.
DRM이란 무엇이고 왜 세 가지 시스템이 함께 필요한가
DRM(Digital Rights Management)은 영상을 암호화해 인가된 플레이어·기기에서만 복호화 키를 받아 재생하도록 강제하는 기술이다. 문제는 브라우저·운영체제마다 지원하는 DRM 표준이 다르다는 점이다. 구글의 Widevine은 안드로이드·크롬·파이어폭스·아마존 기기를, 애플의 FairPlay는 iOS·macOS·사파리·애플TV를, 마이크로소프트의 PlayReady는 윈도우·엑스박스·삼성 스마트TV·LG webOS 등을 담당한다. 한 시스템만으로는 전체 학습자를 커버할 수 없기 때문에, 플랫폼이 학습자의 브라우저·기기를 자동 감지해 해당하는 DRM 라이선스를 실시간으로 발급하는 '멀티 DRM' 구조가 사실상 표준이 됐다. 업계에서는 Widevine과 FairPlay 조합만으로 전체 기기의 약 95%를 커버하고, PlayReady까지 세 가지를 모두 적용하면 99% 이상까지 끌어올릴 수 있다고 본다.
3대 DRM 시스템 비교
| DRM | 운영 주체 | 주요 커버리지 | 특징 |
|---|---|---|---|
| Widevine | Android, Chrome, Firefox, Fire TV | 웹·모바일에서 가장 넓은 브라우저 지원 | |
| FairPlay | Apple | iOS, macOS, Safari, Apple TV | 애플 생태계에서는 사실상 필수 |
| PlayReady | Microsoft | Windows, Xbox, 삼성·LG 스마트TV, Roku | 스마트TV·셋톱 환경 커버리지에 강점 |
세 시스템 모두 콘텐츠를 표준 암호화 방식(CENC)으로 한 번 암호화해 두고, 재생 시점에 기기별로 다른 라이선스 서버를 거쳐 각기 다른 방식으로 복호화 키를 내려주는 구조를 취한다. 즉 영상 파일 자체는 하나로 관리하면서, 플레이어단에서 어떤 DRM 클라이언트가 요청했는지에 따라 대응하는 라이선스만 갈라주는 방식이라 운영 부담이 크게 늘지 않는다.
DRM만으로는 부족하다 — 워터마킹과 유출 추적
DRM은 '허가받지 않은 재생'은 막아주지만, 화면 녹화나 캡처처럼 재생 화면 자체를 그대로 복제하는 행위까지 완전히 차단하지는 못한다. 실제로 국내 이러닝 유출 사례를 보면 영상을 통째로 내려받아 공유하는 경우 외에도, 강의 내용을 화면 캡처해 블로그에 올리거나 다운로드한 강의를 되팔다 적발되는 경우가 꾸준히 보고된다. 이 때문에 최근에는 사용자마다 고유한 워터마크를 영상에 삽입하는 포렌식 워터마킹 기술을 DRM과 함께 적용해, 유출이 발생했을 때 어떤 계정에서 새어 나갔는지 역추적하는 방식이 함께 쓰인다.
- 영상 암호화(DRM)로 무단 재생 자체를 차단한다.
- 사용자별 포렌식 워터마킹으로 유출 경로를 추적할 수 있게 한다.
- 다운로드·화면녹화 방지 스크립트, 개발자도구 차단 등 보조 장치를 함께 둔다.
- 저작권법 위반 시 5년 이하 징역 또는 5000만 원 이하 벌금이라는 법적 근거를 이용약관에 명시한다.
법이 규정하는 처벌 수위와 실제 적발·추적 가능성을 학습자에게 명확히 고지하는 것 자체도 유출을 억제하는 효과가 있다.
암호화된 파일 하나보다, 유출 경로를 추적할 수 있다는 사실이 더 강력한 억제력이 된다.
이러닝 사업자가 확인해야 할 것
유료 강의를 서비스한다면 DRM 도입 여부보다 '어떤 조합으로, 어디까지' 도입했는지를 구체적으로 따져야 한다. Widevine·FairPlay 두 가지만 있어도 대부분의 웹·모바일 학습자는 커버되지만, 스마트TV로 시청하는 기업 연수원이나 강의실 환경이 있다면 PlayReady까지 포함한 완전한 멀티 DRM이 필요하다. 여기에 사용자별 워터마킹까지 갖췄다면, 콘텐츠 유출 시 최소한 '누가, 언제' 유출했는지는 특정할 수 있는 최소한의 방어선을 갖춘 셈이다. 203억 원 규모의 유출 사건이 보여주듯, 영상 보안은 사고가 난 뒤 대응하는 영역이 아니라 서비스 설계 단계에서부터 확정해야 하는 항목이다.
