국내 대표 결혼정보회사 듀오에서 회원 42만여 명의 개인정보가 유출된 사실이 드러난 가운데, 단순 인적사항을 넘어 부동산·현금 보유액 등 재산 정보까지 포함된 민감정보가 외부로 빠져나간 것으로 확인됐다. 개인정보보호위원회는 듀오 측의 관리 소홀과 법 위반 사항을 인정해 약 12억 원의 과징금을 부과했다.

25일 국회 과학기술정보방송통신위원회 최민희 위원장이 공개한 자료에 따르면, 이번 유출 사고에는 회원 기본정보 외에도 일부 정회원이 제출한 재산 관련 증빙자료가 포함된 것으로 나타났다. 해당 자료에는 부동산 보유 현황, 현금 자산 규모, 원천징수 내역 등이 담긴 것으로 전해졌다.

결혼정보회사는 회원 매칭 과정에서 학력, 직업, 혼인 이력, 종교, 신장·체중 등 개인의 사생활 전반에 관한 정보를 수집하는 구조다. 여기에 자산 규모까지 포함되면서 일반적인 개인정보 유출 사고보다 민감성과 파급력이 훨씬 크다는 지적이 나온다.

조사 결과 해커는 직원 PC를 악성코드에 감염시킨 뒤 계정 정보를 탈취해 내부 데이터베이스(DB) 서버에 접근한 것으로 파악됐다. 이후 회원 정보를 외부로 내려받는 방식으로 대규모 유출이 이뤄졌다.

문제는 듀오 측이 기본적인 보안 수칙조차 제대로 지키지 않았다는 점이다. 개인정보보호위원회는 주민등록번호 등 주요 개인정보 암호화 수준이 정부 권고 기준에 미달했다고 판단했다. 또한 접속 인증 실패 횟수 제한 미설정, 원격 접속 관리 부실 등 다수의 관리상 허점도 확인됐다.

사고 발생 이후 대응 과정에서도 문제가 드러났다. 듀오는 유출 사실을 인지하고도 법정 신고 기한인 72시간을 넘겨 약 4일 뒤에야 당국에 신고한 것으로 조사됐다. 개별 회원 통지 역시 이뤄지지 않았고, 홈페이지 공지로만 대응한 점도 도마 위에 올랐다.

이와 함께 법적 근거 없이 주민등록번호를 수집한 사실과 보유기간이 지난 개인정보 약 29만 건을 파기하지 않은 사실도 적발됐다. 탈퇴 회원과 보관기한이 지난 회원 정보까지 유출 대상에 포함되면서 피해 규모를 키웠다는 평가다.

개인정보보호위원회는 전체회의를 열고 듀오에 과징금 11억9700만 원과 과태료 1320만 원을 부과했다. 다만 업계에서는 이번 사고의 중대성에 비해 제재 수위가 낮다는 지적도 제기된다. 현행법상 과징금이 매출액을 기준으로 산정되기 때문이다.

전문가들은 결혼중개업, 채용 플랫폼, 의료 서비스처럼 고도의 민감정보를 다루는 업종에 대해서는 별도의 강화된 보호 기준이 필요하다고 강조한다. 가입자 수뿐 아니라 보유 정보의 민감도를 반영한 규제 체계가 필요하다는 것이다.

개인정보보호위원회도 향후 결혼중개업 등 민감정보 취급 업종을 대상으로 기획 점검 확대, 개인정보 처리 적정성 평가 강화, 정보보호관리체계(ISMS) 의무화 확대 등을 검토할 방침이다.

최민희 위원장은 “민감정보를 다루는 기업이 기본적인 보안 가이드라인조차 지키지 않았다”며 “개인정보를 수익 창출 수단으로만 본 무책임한 행태”라고 비판했다. 이어 “민감정보를 수집하는 기업에 대해서는 보다 강력한 규제가 필요하다”고 강조했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지