“집 주소·직장명까지 싹 털렸다” 듀오 43만명 개인정보 유출 '충격'

듀오 홈페이지 캡처.

결혼정보회사 듀오정보에서 회원 43만명에 달하는 민감한 개인정보가 유출된 사실이 뒤늦게 드러났다. 듀오는 이를 알고도 제때 신고하지 않거나 피해자에게 알리지 않은 것으로 조사됐다.

23일 개인정보보호위원회에 따르면 작년 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹당해 정회원 42만7464명의 개인정보가 외부로 유출됐다.

유출된 개인정보에는 아이디와 비밀번호, 이름, 생년월일, 주민등록번호, 연락처 등 기본 인적사항은 물론 신장, 체중, 혈액형, 종교, 취미, 혼인 경력, 학력, 직장, 자산, 집 주소 등 개인의 삶 전반을 보여주는 민감 정보가 포함됐다.

조사 결과, 듀오정보는 데이터베이스(DB) 접속 시 일정 횟수 이상 인증 실패할 경우 접근 제한 등의 조치를 설정하지 않았고 주민등록번호와 비밀번호에도 안전성이 낮은 암호화 방식을 적용하는 등 안전성 확보 조치 의무를 위반했다. 또 보유기간 5년이 지난 회원 정보 29만8566건을 파기하지 않은 사실도 확인됐다.

듀오가 정회원의 가입 과정에서 별도의 법적 근거 없이 주민등록번호를 수집·저장한 점도 문제였다.

개인정보위는 결혼중개업법상 국내 결혼을 중개하는 사업장이 주민등록번호를 수집할 수 있다는 명시적 근거가 없는데도 듀오가 회원 가입 시 주민등록번호를 받았고 특히 결혼중개회사 특성상 회원의 기본적인 인적사항뿐만 아니라 학력, 종교, 직장 등 삶과 성향이 담긴 다량의 민감정보를 수집했다고 지적했다.

다만 듀오는 조사 과정에서 법 위반 사실을 인지하고 현재 회원 가입 시 주민등록번호 대신 생년월일만 받는 것으로 시정했다고 개인정보위는 설명했다.

이와함께 듀오정보는 개인정보 유출 사실을 인지하고도 정당한 사유 없이 72시간을 넘겨 신고를 지연했으며 피해 회원에게 유출 사실을 통지하지 않아 2차 피해 방지에도 소홀했던 것으로 조사됐다.

이에 개인정보위는 듀오정보에 과징금 11억9700만원과 과태료 1320만원을 부과했고 유출 사실을 회원들에게 즉각 통지할 것을 명령했다. 또 듀오에 재발 방지를 위한 보안 강화, 최소한의 정보 수집, 파기 지침 정비 등 전반적인 개인정보 보호 체계 개선도 요구했다.