결혼정보회사에 맡긴 개인정보는 이름과 연락처만이 아니다. 연봉·학력·직장은 물론 키·몸무게 같은 신체조건, 재혼이면 이전 혼인 이력까지 포함됐다.

국내 대형 결혼정보업체 듀오가 관리하던 42만여 명의 정보가 외부로 빠져나간 사실이 1년 넘게 지난 뒤에야 공식 확인됐다.

내부 PC 한 대에서 시작된 42만명 유출

개인정보보호위원회는 4월 23일 전체회의를 열어 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과하고, 유출 사실을 피해 회원들에게 즉시 통지하도록 명령했다.

위원회에 따르면 지난해 1월 듀오 내부 직원의 업무용 PC 한 대가 해킹당하면서, 해커가 악성코드를 심어 데이터베이스(DB) 서버 접속 계정을 빼냈고, 이후 서버에 접속해 정회원 42만7464명의 개인정보를 내려받아 외부로 유출했다.

유출된 항목은 적어도 24개 이상이다. 위원회가 공개한 내역을 정리하면 아이디·비밀번호 같은 계정 정보부터 이름·생년월일·주민등록번호·성별·휴대전화번호·이메일·주소가 포함됐고, 여기에 더해 회원 프로필상 노출되는 학력·직장·연봉 등 소득 정보, 키·몸무게 등 신체 조건, 그리고 재혼 희망 회원의 경우 이혼·사별 같은 혼인 이력까지 빠져나간 것으로 전해졌다.

일반적인 쇼핑몰 유출 사건과 달리, 결혼정보 서비스 특성상 '어떤 사람인지'를 입체적으로 재구성할 수 있는 정보가 한꺼번에 노출됐다는 점이 이번 사건의 심각성을 알게 한다.

기본 보안장치 부재…암호화도 허술

개인정보위는 듀오의 보안 체계 자체에 구멍이 있었다고 판단했다. DB 서버에 일정 횟수 이상 인증 실패가 누적되면 접속을 차단하는 기능이 설정돼 있지 않았고, 민감도가 높은 주민등록번호와 비밀번호에도 안전성이 떨어지는 방식의 암호화가 적용된 것으로 조사됐다.

해커가 한 번 접속 계정을 확보하자 사실상 별다른 방어막 없이 대규모 데이터를 긁어갈 수 있었다는 이야기다.

개인정보 보호법은 유출 사고를 인지한 사업자가 72시간 안에 감독 기관에 신고하고, 정보 주체인 이용자에게도 즉시 알리도록 규정하고 있다.

하지만 듀오는 사고 인지 이후 정당한 사유 없이 72시간을 넘겨 신고한 것으로 확인됐고, 유출 당사자인 회원들에게는 1년이 지나도록 별도의 통지를 하지 않았다. 이번 시정명령에 '즉시 통지' 항목이 포함된 배경이다.

20년 전에도 해킹 당해...보안은 발전 없나?

결혼정보업체 듀오의 개인정보 유출은 이번이 처음이 아니다. 듀오는 2003년에도 회원 30만명 수준의 신상 정보가 해킹으로 유출된 적이 있다.

20여년 뒤에도 유사한 사고가 반복됐다는 점에서, 회사의 보안 실패를 넘어 보안 정책 전반에 대한 의문을 갖게 한다.

최근 정부는 대규모 개인정보 유출 사고에 대해 해당 기업 전년도 매출의 최대 3%까지 과징금을 부과할 수 있도록 보호법을 개정해 시행하고 있다.

카카오·테무·한국연구재단·티머니 등 유출 기업에 잇따라 수억~수백억원대 과징금이 부과된 것도 같은 흐름이다. 이번 듀오 건의 과징금 12억원 수준은 이 기준 아래서 산정된 것으로 해석된다.

김다솜