국내 최대 결혼정보회사 듀오에서 회원 43만 명의 신체조건, 자산, 혼인경력 등 극히 민감한 개인정보가 해킹으로 대거 유출되는 사고가 발생했다. 정부 조사 결과 듀오는 법적 근거 없이 주민등록번호를 수집하고 보안 관리를 소홀히 했으며 유출 사실을 인지하고도 신고를 지연한 것으로 드러났다. 이에 개인정보보호위원회는 12억 원에 달하는 과징금과 과태료를 부과하고 즉각적인 피해 통지를 명령하며 엄중 처분에 나섰다.

결혼정보업계의 선두 주자인 주식회사 듀오정보에서 유례를 찾기 힘든 대규모 개인정보 유출 사고가 확인되어 사회적 파장이 일고 있다. 이번 사고는 단순한 인적 사항의 유출을 넘어 개인의 사생활과 직결된 민감 정보가 대량으로 포함되었다는 점에서 심각성을 더한다. 정부 당국의 조사 결과에 따르면 유출된 정보의 규모와 종류, 그리고 회사의 사후 대응 과정 전반에서 심각한 결함이 발견되었다.

▲ 보안 관리 체계의 총체적 부실과 해킹 경로

개인정보보호위원회의 조사 결과에 따르면 이번 유출 사고는 작년 1월 듀오 내 개인정보 취급 직원의 업무용 PC가 해킹당하면서 시작되었다. 해커는 해당 PC를 교두보 삼아 정회원 42만 7,464명의 개인정보가 담긴 데이터베이스(DB)에 접속한 것으로 파악되었다. 듀오는 해커가 회원 DB에 접근하는 과정에서 일정 횟수 이상 인증에 실패할 경우 접근을 차단하는 기본적인 보안 조치조차 설정하지 않았던 것으로 드러났다.

보안 시스템의 부실은 여기서 그치지 않았다. 듀오는 주민등록번호와 비밀번호 등 핵심 개인정보를 저장하면서 안전하지 않은 암호화 알고리즘을 적용하는 등 안전성 확보 조치 의무를 위반했다. 유출된 데이터 항목은 아이디와 비밀번호, 이름, 생년월일, 성별, 연락처, 주소와 같은 기본 정보는 물론이고 신장, 체중, 혈액형과 같은 신체 정보, 종교, 취미, 혼인경력, 형제 관계, 학력(학교명, 전공, 입졸업 연도), 직장 정보(입사 연월, 직장명) 등 결혼 중개를 위해 수집된 극히 세세한 프로필 정보를 모두 포함하고 있다.

▲ 법적 근거 없는 주민번호 수집 및 파기 의무 위반

이번 조사 과정에서는 유출 사고 외에도 듀오의 위법적인 개인정보 처리 관행이 추가로 적발되었다. 듀오는 현행 결혼중개업법상 국내 결혼 중개 사업자가 주민등록번호를 수집할 수 있는 명시적 근거가 없음에도 불구하고, 정회원 가입 시 주민등록번호를 별도 법적 근거 없이 수집하고 저장해 온 것으로 확인되었다. 이는 개인정보 보호법상 '최소 수집의 원칙'을 정면으로 위반한 행위다.

또한, 개인정보 처리 방침에 명시한 보유 기간인 5년이 지난 정회원 정보 29만 8,566건을 파기하지 않고 그대로 보관해 온 사실도 드러났다. 파기되었어야 할 데이터가 서버에 남아있다가 이번 해킹 공격의 대상이 되면서 피해 규모를 더욱 키운 셈이다. 정부는 듀오가 유출 사실을 파악한 뒤에도 정당한 사유 없이 72시간을 넘겨 신고를 지연한 점을 지적하며, 이는 피해 확산을 막기 위한 초기 대응 의무를 저버린 행위라고 판단했다.

▲ 정부의 강력한 행정처분과 향후 재발 방지 대책

개인정보보호위원회는 이러한 복합적인 위반 사항을 근거로 듀오에 과징금 11억 9,700만 원과 과태료 1,320만 원 부과를 결정했다. 이와 함께 유출 피해를 입은 회원들에게 해당 사실을 즉각 통지할 것과 운영 중인 홈페이지에 처분 사실을 공표할 것을 명령했다. 이는 민감 정보를 다루는 기업이 보안 관리에 소홀할 경우 강력한 경제적, 사회적 책임을 물어야 한다는 정부의 의지가 반영된 결과로 풀이된다.

듀오 측은 정부의 판단을 존중한다는 입장을 밝히며 사과했다. 사측은 사고 인지 후 주민등록번호 수집을 중단하고 생년월일로 대체하는 등 시정 조치를 완료했다고 설명했다. 아울러 현재까지 유출된 정보로 인한 2차 피해는 확인된 바 없으며, 향후 재발 방지를 위해 전반적인 보안 관리 체계를 강화하겠다고 약속했다. 그러나 이미 유출된 정보의 휘발성이 낮고 개인의 삶 전반을 아우르는 데이터인 만큼, 피해 회원들의 불안감은 쉽게 가라앉지 않을 전망이다.