국내 최대 결혼정보업체 듀오정보(이하 듀오)에서 정회원 약 43만 명의 개인정보가 대규모로 유출된 사실이 뒤늦게 드러났다. 유출된 정보에는 단순 인적 사항을 넘어 신체 조건, 자산, 혼인 경력 등 극히 민감한 정보가 포함되어 있어 파장이 예상된다.

(사진=개인정보위제공)

24일 개인정보보호위원회(이하 개인정보위)와 업계에 따르면, 지난해 1월 듀오 직원의 업무용 PC가 악성코드에 감염되면서 회원 데이터베이스(DB) 서버에 보관 중이던 정회원 42만 7,464명의 개인정보가 외부로 유출됐다.

신체 조건부터 혼인 경력까지… ‘사생활의 기록’ 무방비 노출

유출된 데이터 항목은 한 개인의 삶을 상세히 재구성할 수 있을 정도로 광범위하다. 이름, 생년월일, 연락처, 주소 등 기본 정보는 물론 주민등록번호까지 포함됐다.

특히 결혼정보업체의 특성상 회원이 성혼을 위해 제공한 민감 정보가 대거 유출됐다. 구체적으로는 ▲신장, 체중, 혈액형 등 신체 정보 ▲종교, 취미, 가치관 ▲학력(학교명, 전공, 입학·졸업 연도) ▲직장명 및 입사 시기 ▲혼인 경력(초혼·재혼 여부) ▲형제 관계 및 장남·장녀 여부 등이 해커의 손에 넘어갔다.

업계 관계자는 “일반적인 쇼핑몰 정보 유출과는 차원이 다른 심각한 사안”이라며 “유출된 정보만으로 특정 개인의 사생활과 가정사를 완벽하게 특정할 수 있어 2차 피해 우려가 크다”고 경고했다.

보안 관리는 ‘허술’… 주민번호 불법 수집 관행도 드러나

개인정보위 조사 결과, 듀오의 보안 관리 실태는 업계 1위라는 명성에 걸맞지 않게 허술했던 것으로 드러났다.

듀오는 해커가 DB 접속을 시도할 때 일정 횟수 이상 인증에 실패해도 접근을 차단하는 기본적 방어 체계를 갖추지 않았다. 또한 주민등록번호와 비밀번호를 보호하기 위해 사용한 암호화 알고리즘 역시 안전성이 검증되지 않은 취약한 방식을 적용해 온 것으로 확인됐다.

개인정보 보호법 위반 행위도 잇따라 적발됐다. 듀오는 법적 근거 없이 정회원의 주민등록번호를 관행적으로 수집·저장해 왔으며, 개인정보 처리 방침에 명시된 보유 기간(5년)이 지난 회원 29만 8,566건의 정보도 파기하지 않고 방치해 피해 규모를 키웠다.

1년 넘게 숨긴 ‘늑장 대응’… “과징금 수준 낮아” 지적

사고 발생 후 듀오의 대응도 논란이다. 듀오는 정보 유출 사실을 인지하고도 정당한 사유 없이 72시간 내 신고 의무를 지체했으며, 1년이 지난 현재까지도 피해 회원들에게 유출 사실을 개별 통지하지 않았다.

개인정보위는 듀오에 과징금 11억 9,700만 원과 과태료 1,320만 원을 부과하고 유출 사실 통지 명령을 내렸다. 그러나 시장에서는 이번 처벌이 피해 규모와 정보의 민감성에 비해 지나치게 가볍다는 지적이 나온다.

현행법상 과징금 한도가 ‘관련 매출액의 3%’로 묶여 있는 데다, 중기업 감경 기준 등이 적용되면서 실제 부과액이 낮아졌기 때문이다. 시민사회단체 관계자는 “개인의 모든 신상 정보가 털렸는데 매출 대비 벌금 형식으로 처벌하는 것은 기업에 보안 투자의 동기를 부여하기 어렵다”며 “민감 정보 유출에 대한 징벌적 배상 수준의 가중 기준이 시급하다”고 강조했다.

한편 듀오 측은 “개인정보위의 판단을 존중하며 재발 방지를 위해 최선을 다하겠다”는 입장을 밝혔으나, 이미 훼손된 고객 신뢰와 잠재적 2차 피해에 대한 책임론은 피하기 어려울 전망이다.