직원 PC 해킹…회원 43만명 정보 유출
기본 정보에 개인 특성까지 빠져 나가
정보 유출 인지 후에도 72시간 허비

‘역시 결혼해 듀오.’

23일 정오 무렵, 서울 중구 서울역 버스환승센터를 지나는 한 시내버스에 붙은 결혼정보회사 듀오의 광고 문구가 눈에 들어왔다. 노란 바탕에 파란색 글씨를 대비시켜 시각적 효과를 극대화한 이 광고는 버스가 정류장에 멈춰 설 때마다 시민들의 시선을 사로잡았다. 특정 노선에 국한되지 않고 서울 시내 곳곳을 누비는 버스 광고의 특성상 해당 브랜드는 매일 수많은 시민에게 강렬한 인상을 남기며 신뢰의 이미지를 쌓아왔다.

23일 정오 무렵 서울 중구 서울역버스환승센터를 지나는 A버스회사의 시내버스 차량에 결혼정보회사 ‘듀오’ 광고가 보인다. 김동환 기자

도심 한복판과 지하철역 곳곳을 수놓으며 대중적 인지도를 다져온 국내 최대 결혼정보회사 듀오의 회원 약 43만명 개인정보가 유출돼 파문이 일고 있다. 유출된 정보에는 회원의 신체 조건부터 혼인 경력, 직업, 학력, 자산 상태에 이르기까지 삶의 궤적이 고스란히 담긴 프로필 정보가 포함된 것으로 알려져 사태의 심각성을 더한다.

개인정보보호위원회(개인정보위)에 따르면 지난해 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹당하며 정회원 42만7464명의 데이터가 외부로 빠져나갔다. 듀오의 정회원은 일정 수준의 가입비를 지불하고 매니저를 통해 엄선된 이성 정보를 제공받으며 만남을 이어가는 핵심 고객층이다. 회사가 보장하는 만남의 횟수가 곧 유료 서비스의 가치인 만큼 이들은 자신의 가장 사적인 정보들을 회사 측에 전적으로 신뢰하며 맡겨왔다.

유출된 데이터도 충격적이다. 아이디와 비밀번호, 성명, 생년월일, 주민등록번호 등 기본 식별 정보는 물론이고 신장과 체중, 혈액형, 종교, 취미와 같은 신체적·개인적 특성까지 유출됐다. 여기에 더해 형제 관계와 장남·장녀 여부, 학교명과 전공, 입학 및 졸업 연도, 구체적인 직장명과 입사 시기 등 한 사람의 신원을 완벽하게 특정할 수 있는 민감 정보들이 해커의 손에 넘어갔다.

조사 과정에서 드러난 듀오의 보안 관리 실태는 허술하기 짝이 없었다. 해커가 회원 데이터베이스(DB)에 접속을 시도할 때, 일정 횟수 이상 인증에 실패해도 접근을 제한하는 등의 기본적인 방어 체계조차 갖추지 않았다. 더욱이 주민등록번호와 비밀번호를 보호해야 할 암호화 알고리즘마저 안전성이 검증되지 않은 취약한 방식을 적용하는 등 개인정보 보호법상 안전성 확보 조치 의무를 심각하게 위반한 것으로 확인됐다.

법적 근거 없는 과도한 정보 수집 행태도 비판을 받고 있다. 듀오는 정회원 가입 시 주민등록번호를 별도 법적 근거 없이 수집·저장했고, 개인정보 처리 방침에 기재한 보유기간 5년이 지난 정회원 정보 29만8566건을 파기하지 않은 사실도 확인됐다. 이번 사고의 피해 규모가 컸던 가장 큰 이유로 볼 수 있다. 정부의 조사가 시작된 이후에야 듀오는 주민등록번호 대신 생년월일만 받는 방식으로 가입 절차를 뒤늦게 수정한 것으로 알려졌다.

23일 정오 무렵 서울 중구 서울역버스환승센터로 향하는 B버스회사의 시내버스 차량 뒷편에 결혼정보회사 ‘듀오’의 광고가 보인다. 김동환 기자

이정은 개인정보위 조사2과 과장은 “국내 결혼을 중개하는 사업장이 주민등록번호를 수집할 수 있다는 명시적 근거가 결혼중개업법상 존재하지 않음에도 듀오는 이를 관행적으로 수집해왔다”며 “조사 과정에서 위반 사실을 인지한 듀오 측이 현재는 주민등록번호 수집을 중단하고 생년월일로 대체하도록 시정한 상태”라고 설명했다.

특히 듀오는 정보 유출 사실을 인지한 후에도 정당한 사유 없이 72시간을 허비하며 신고를 늦춘 정황이 포착됐다. 결혼정보회사의 특성상 삶의 가치관과 성향이 담긴 민감 정보가 대량으로 유출됐는데도 피해 회원들에게 이 사실을 즉각 알리지 않아 2차 피해를 막을 골든타임을 놓쳤다는 것이 정부의 판단이다. 고객의 사생활 보호보다 기업의 평판 하락을 더 우려한 ‘늑장 대응’ 아니냐는 비판을 피하기 어렵게 됐다.

개인정보위는 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과하는 한편, 피해 회원들에게 유출 사실을 즉시 통지할 것을 명령했다. 재발 방지를 위한 보안 조치 강화, 최소 정보 수집 원칙 준수, 명확한 개인정보 파기 지침 수립 등 전반적인 관리 체계를 개선하라고 지시했다. 아울러 이번 행정 처분 사실을 홈페이지에 공표하도록 했다.

듀오 관계자는 “개인정보위의 판단을 존중하고 회원의 개인정보가 유출돼 죄송하다”며 “다만 사고 수습을 위해 만전을 기해 회원 정보 유출에 따른 2차 피해는 아직 한 건도 발생하지 않았고, 유출 사고가 재발하지 않도록 최선을 다하겠다”고 말했다. 하지만 서울 시내를 누비는 화려한 광고 이면에 가려졌던 보안의 구멍은 이미 많은 회원에게 씻을 수 없는 불안감을 안겨준 뒤였다.

김동환 기자 [e-mail]