서울청, 듀오 43만명 개인정보 유출 수사…해킹 경위 추적

[더파워 이우영 기자] 결혼정보업체 듀오에서 정회원 약 43만명의 개인정보가 유출된 사건을 서울경찰청 사이버수사대가 수사 중인 것으로 확인됐다. 24일 경찰 등에 따르면 해당 사건은 지난해 2월 4일 서울 강남경찰서에 접수된 뒤 이튿날인 5일 서울경찰청 사이버수사대로 이송돼 현재까지 수사가 진행되고 있다.

경찰은 정보통신망법 위반 혐의를 중심으로 유출 경위와 침입 과정을 들여다보고 있다. 수사 과정에서는 해킹 침입 관련 자료도 확보된 것으로 전해졌다.

앞서 개인정보보호위원회는 지난 23일 듀오에서 정회원 42만7464명의 개인정보가 외부로 유출된 사실을 확인하고 과징금 11억9700만원과 과태료 1320만원을 부과했다. 개인정보위 조사 결과 지난해 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹당했고, 이 과정에서 회원 데이터베이스에 보관된 개인정보가 외부로 빠져나간 것으로 파악됐다.

유출된 정보에는 아이디와 비밀번호, 이름, 생년월일, 주민등록번호, 연락처, 주소 등 기본 정보가 포함됐다. 여기에 신장, 체중, 혈액형 등 신체 정보와 종교, 혼인경력, 형제관계, 학교명, 직장명 등 결혼정보업체 특성상 개인의 생활과 이력을 보여주는 정보도 함께 유출된 것으로 조사됐다.

개인정보위는 듀오의 안전조치 의무 위반도 확인했다. 듀오는 회원 데이터베이스 접속 과정에서 일정 횟수 이상 인증 실패 시 접근을 제한하는 조치를 설정하지 않았고, 주민등록번호와 비밀번호에는 안전하지 않은 암호화 알고리즘을 적용한 것으로 나타났다.

개인정보 수집과 보관 과정에서도 문제가 드러났다. 듀오는 정회원 가입 과정에서 별도의 법적 근거 없이 주민등록번호를 수집·저장했고, 개인정보처리방침에 명시된 보유기간 5년이 지난 정회원 정보 29만8566건을 파기하지 않은 것으로 조사됐다.

사후 대응도 도마에 올랐다. 개인정보위는 듀오가 개인정보 유출 사실을 인지하고도 정당한 사유 없이 72시간을 넘겨 신고를 지연했다고 판단했다. 또 유출 사실을 정보주체에게 통지하지 않아 2차 피해 방지 조치에도 소홀했다고 지적했다.

개인정보위는 듀오에 유출 사실을 회원들에게 통지하라고 명령했다. 이와 함께 서비스 제공에 필요한 최소한의 정보만 수집하도록 개인정보 처리 방식을 점검하고, 명확한 파기 지침을 마련하라고 요구했다. 처분 사실도 홈페이지에 공표하도록 했다.

이우영 더파워 기자 leewy1986@thepowernews.co.kr