신장·체중·자산까지…‘듀오’ 회원 43만명 프로필 유출

듀오 “2차 피해 1건도 없어…피해 회원에 죄송”

송경희 개인정보보호위원회 위원장이 22일 서울 종로구 정부서울청사에서 열린 2026년 제7회 개인정보보호위원회 전체회의에서 발언하고 있다. 연합뉴스

결혼정보회사인 주식회사 듀오정보(듀오)에서 회원 43만명의 신체조건, 혼인경력, 직업, 학력, 자산 등 민감한 프로필 정보가 대거 유출됐다. 정부는 유출 사실을 늦게 신고한 데 대해 과징금과 과태료를 부과하고 피해 회원 통지를 명령했다.

23일 개인정보보호위원회에 따르면 지난해 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹되면서 정회원 42만7464명의 개인정보가 외부로 유출됐다.

유출 항목에는 이름과 연락처 같은 기본 정보는 물론 주민등록번호, 아이디, 비밀번호, 성별, 이메일주소, 휴대 전화번호, 주소, 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 형제 관계, 장남·장녀 여부, 학교명, 전공, 입학 연도, 졸업 연도, 학교 소재지, 입사 연월, 직장명 등이다.

조사 결과 듀오는 해커가 회원 데이터베이스(DB)에 접속하는 경우 일정 횟수 이상 인증 실패 시 접근을 제한하는 등의 조치를 설정하지 않은 것으로 드러났다.

또한 듀오는 주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용하는 등 안전성 확보 조치 의무도 위반한 것으로 확인됐다.

듀오는 정회원 가입 시 주민등록번호를 별도 법적 근거 없이 수집·저장했으며, 개인정보 처리 방침에 기재한 보유 기간 5년이 지난 정회원 정보 29만8566건을 파기하지 않은 사실도 확인됐다.

이정은 개인정보위 조사조정국 조사2과 과장은 “결혼중개업법상 국내 결혼을 중개하는 사업장이 주민등록번호를 수집할 수 있다는 명시적 근거가 없는데도 듀오가 회원 가입 시 주민등록번호를 받았고 유출한 사실이 확인됐다”며 “듀오는 조사 과정에서 법 위반 사실을 인지하고 현재 회원 가입 시 주민등록번호 대신 생년월일만 받는 것으로 시정했다”고 말했다.

회원 정보가 유출된 사실을 파악하고도 정당한 사유 없이 72시간을 보내 유출 신고를 지연한 정황도 확인했다. 특히 결혼중개업 특성상 개인의 신상과 가치관이 집약된 정보가 대량으로 포함돼 있음에도, 피해 회원에게 이를 제때 알리지 않아 2차 피해 방지에 소홀했다고 정부는 판단했다.

개인정보위는 듀오에 과징금 11억9700만원, 과태료 1320만원을 부과하고, 개인정보가 유출된 회원에게 즉각 유출 사실을 통지하라고 명령했다.

또한 개인정보위는 듀오에 유출 사고 재발 방지를 위한 안전조치를 강화하고 서비스 제공에 필요한 최소한의 정보를 수집하도록 개인정보 처리 방식을 점검할 것을 명령했다. 또 명확한 파기 지침 수립 등 전반적인 개인정보 보호 및 관리체계를 강화하라고 명령했다. 아울러 처분 사실을 운영 중인 홈페이지에 공표하라고 했다.

듀오 관계자는 “개인정보위의 판단을 존중하고 회원의 개인정보가 유출돼 죄송하다”며 “다만 사고 수습을 위해 만전을 기해 회원 정보 유출에 따른 2차 피해는 아직 한 건도 발생하지 않았고, 유출 사고가 재발하지 않도록 최선을 다하겠다”고 말했다.

백재연 기자 energy@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지