[더파워 이우영 기자] 국내 대표 결혼정보업체 듀오에서 정회원 42만여명의 개인정보가 외부로 유출된 것으로 드러났다.
23일 개인정보보호위원회에 따르면 듀오는 회원들의 주민등록번호와 연락처 같은 기본정보는 물론 학력, 종교, 직장, 신체 정보 등 민감한 개인정보까지 유출된 데다 정보주체에게 해당 사실을 통지하지 않아 제재를 받았다.
개인정보위 조사 결과 해커는 지난해 1월 듀오 개인정보취급 직원의 업무용 PC를 악성코드에 감염시킨 뒤 데이터베이스(DB) 서버 계정 정보를 확보했다. 이후 해당 정보로 회원 DB 서버에 접속해 전체 정회원 42만7464명의 정보를 내려받아 외부로 유출했다.
개인정보위가 확인한 유출 정보 종류는 최소 24개를 넘는다. 아이디와 비밀번호(암호화), 이름, 생년월일, 주민등록번호(암호화), 성별, 이메일주소, 휴대전화번호, 주소를 비롯해 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 형제관계, 장남·장녀 여부, 출신학교명, 전공, 입학연도, 졸업연도, 학교 소재지, 입사 연월, 직장명 등이 포함됐다.
결혼중개업체 특성상 회원에게서 수집하는 정보가 광범위한 만큼 실제 피해 범위는 더 클 수 있다는 지적도 나온다. 개인정보위는 듀오가 개별 동의를 거쳐 선택적으로 수집한 정보도 적지 않은 것으로 보고 있다. 듀오 개인정보처리방침에 따르면 본관, 주거유형, 소유 여부, 자가용 유무, 가족 소유 부동산, 안경 착용 여부, 병역, 직업, 성격, 외모, 경제력, 시부모 동거 여부, 건강 상태 등 개인이 먼저 밝히지 않으면 알기 어려운 정보도 수집 대상에 포함돼 있다.
다만 듀오는 민감정보 가운데 종교를 제외한 인종·민족, 사상·신조, 정치적 성향, 범죄기록, 성생활 등은 수집하지 않는다고 안내해온 것으로 전해졌다. 그럼에도 이번 유출 정보에는 회원 개인의 삶과 성향을 보여주는 데이터가 대거 포함돼 있어 2차 피해 우려가 커지고 있다.
개인정보위는 유출 규모뿐 아니라 듀오의 사후 대응도 문제 삼았다. 조사 결과 유출된 전체 회원정보 가운데 약 30만명분은 이미 서비스 계약이 종료돼 파기됐어야 할 정보였다. 구체적으로는 개인정보처리방침에 기재한 보유기간 5년이 지난 정회원 정보 29만8566건을 파기하지 않고 보관한 사실이 확인됐다.
안전조치 의무 위반도 드러났다. 듀오는 회원 DB 접속 과정에서 일정 횟수 이상 인증 실패 시 접근을 제한하는 조치를 설정하지 않았고, 주민등록번호와 비밀번호에는 안전하지 않은 암호화 알고리즘을 적용한 것으로 조사됐다. 정회원 가입 과정에서 별도의 법적 근거 없이 주민등록번호를 수집·저장한 점도 문제로 지적됐다.
유출 사고를 인지한 뒤 대응도 늦었다. 개인정보위는 듀오가 유출 사실을 확인했음에도 정당한 사유 없이 72시간을 넘겨 유출 신고를 지연했다고 밝혔다. 또 결혼중개업체 특성상 학력, 종교, 직장 등 정보주체의 삶과 성향이 담긴 다량의 정보를 수집하고 있음에도, 유출 사실을 현재까지도 정보주체에게 통지하지 않는 등 2차 피해 방지 조치에 소홀했다고 판단했다.
이에 개인정보위는 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과했다. 아울러 개인정보보호법에 따라 정보주체에게 유출 사실을 즉시 통지하고, 처분 사실을 홈페이지에 공표하라고 명령했다. 재발 방지를 위해서는 안전조치를 강화하고 최소한의 개인정보만 수집하도록 처리 방식을 점검하는 한편, 명확한 파기 기준도 마련하라고 요구했다.
이우영 더파워 기자 leewy1986@thepowernews.co.kr
