[이코노미스트 이용우 기자] 결혼정보회사인 주식회사 듀오정보(듀오)에서 회원 43만명의 신체조건, 혼인경력, 직업, 학력, 자산 등 민감한 프로필 정보가 대거 유출된 것으로 드러났다. 계약 종료 후 5년이 지난 회원 정보도 파기하지 않고 그대로 보관돼 이번 유출에 포함됐다.

정부는 유출사실을 알고도 신고를 늦춘 듀오에 과징금과 과태료를 부과하고 피해를 본 회원에 개인정보 유출 사실을 즉각 통지하라고 명령했다.

23일 개인정보보호위원회에 따르면 작년 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹당해 정회원 42만7464명의 개인정보가 외부로 유출됐다.

개인정보위가 듀오에서 유출된 것으로 확인한 개인정보 종류는 최소 24가지가 넘는다.

위원회가 유출된 것으로 밝힌 개인정보 종류는 아이디와 비밀번호(암호화), 이름, 생년월일, 주민등록번호(암호화), 성별, 이메일주소, 휴대전화 번호, 본인 주소, 신장, 체중, 혈액형, 종교, 취미, 혼인경력(초혼·재혼), 형제 관계, 장남·장녀 여부, 출신학교 명, 전공, 입학 연도, 졸업 연도, 학교 소재지, 입사 연월, 직장명 등이다.

이런 정보 외에도 듀오가 개별 동의를 받고서 회원에게서 선택적으로 수집한 정보도 많은 것으로 전해져 유출된 개인정보 피해는 더 클 것으로 보인다.

다만 듀오는 인권침해 우려가 있는 개인 민감정보 중 종교를 제외한 인종 및 민족, 사상 및 신조, 정치적 성향, 범죄기록 및 성생활 등은 수집하지 않는다고 알렸다.

유출된 전체 회원 42만명의 개인정보 중 약 29만8566명의 정보는 듀오와 서비스 계약이 종료돼 파기돼야 했으나 그대로 보관했다.

개인정보 처리지침에서 '결혼중개업법'에 따라 회원의 계약종료 시 가입일 기준 5년간 보관한다고 밝히고 있으나 실제로는 이런 지침이 지켜지지 않은 것이다.

조사 결과 듀오는 해커가 회원 데이터베이스(DB)에 접속하는 경우 일정 횟수 이상 인증 실패 시 접근제한을 제한하는 등의 조치를 설정하지 않은 것으로 드러났다. 

주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용하는 등 안전성 확보 조치 의무 위반이 확인됐다.

게다가 듀오는 회원 정보가 유출된 사실을 파악하고도 정당한 사유 없이 72시간을 보내 유출 신고를 지연한 것으로 드러났다.

결혼중개회사 특성상 회원의 기본적인 인적사항뿐만 아니라 학력, 종교, 직장 등 삶과 성향이 담긴 다량의 민감정보를 수집했고, 해당정보가 유출됐는데도 피해 회원에게 그 사실을 통지하지 않아 2차 피해 방지에 소홀했다고 정부는 판단했다.

개인정보위는 듀오에 과징금 11억9700만원, 과태료 1320만원을 부과하고, 개인정보가 유출된 회원에게 즉각 유출 사실을 통지하라고 명령했다.

개인정보위는 듀오에 유출사고 재발방지를 위한 안전조치를 강화하는 한편, 서비스 제공에 필요한 최소한의 정보를 수집하도록 개인정보 처리 방식을 점검하고, 명확한 파기 지침 수립 등 전반적인 개인정보 보호 및 관리체계를 강화하라고 명령했다. 아울러 처분 사실을 운영 중인 홈페이지에 공표하라고 했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지