2025년 1월 직원 업무용 컴퓨터 해킹당해
듀오의 안전성 확보 조치 의무 위반 확인돼
보유기간 5년 지난 정회원 정보 미파기 확인
유출 확인 후 정당한 사유 없이 신고 지연도

결혼정보회사인 듀오정보(듀오)에서 회원 약 43만명의 개인정보가 유출된 사건을 서울경찰청 사이버수사대가 수사 중이다.

결혼정보회사인 주식회사 듀오정보(듀오). 연합뉴스

24일 경찰에 따르면 서울경찰청 사이버수사대는 듀오 측이 지난해 2월 4일 서울강남경찰서에 접수한 피해 신고를 이튿날 이송 받아 현재까지 수사를 진행하고 있다. 경찰은 관련 자료를 확보해 정보통신망법 위반 혐의를 중심으로 유출 경로 등을 들여다보고 있다.

개인정보보호위원회는 작년 1월 듀오에서 개인정보를 취급하는 직원의 업무용 컴퓨터가 해킹당해 정회원 42만7464명의 개인정보가 외부로 유출됐다고 전날 발표했다.

유출된 개인정보는 아이디, 비밀번호, 이름, 생년월일, 주민등록번호, 성별, 이메일주소, 휴대 전화번호, 주소, 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 형제 관계, 장남·장녀 여부, 학교명, 전공, 입학 연도, 졸업 연도, 학교 소재지, 입사 연월, 직장명 등이다.

조사 결과 듀오는 해커가 회원 데이터베이스(DB)에 접속하는 경우 일정 횟수 이상 인증 실패 시 접근제한을 제한하는 등의 조치를 설정하지 않은 것으로 드러났다. 주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용하는 등 안전성 확보 조치 의무 위반이 확인됐다.

정회원 가입 시 주민등록번호를 별도 법적 근거 없이 수집·저장했고, 개인정보 처리 방침에 기재한 보유기간 5년이 지난 정회원 정보 29만8566건을 파기하지 않은 사실도 확인됐다.

듀오는 회원 정보가 유출된 사실을 파악하고도 정당한 사유 없이 72시간을 보내 유출 신고를 지연한 정황도 확인했다.

개인정보위는 듀오에 과징금 11억9700만원, 과태료 1320만원을 부과하고, 개인정보가 유출된 회원에게 즉각 유출 사실을 통지하라고 명령했다.

개인정보위는 듀오에 유출사고 재발방지를 위한 안전조치를 강화하는 한편, 개인정보 보호 및 관리체계를 강화하라고 명령했다. 아울러 처분 사실을 운영 중인 홈페이지에 공표하라고 했다.

듀오에서 개인정보를 취급하는 직원의 업무용 컴퓨터가 해킹당해 정회원 42만7464명의 개인정보가 외부로 유출됐다. 자료사진

듀오 관계자는 “개인정보위의 판단을 존중하고 회원의 개인정보가 유출돼 죄송하다”며 “다만 사고 수습을 위해 만전을 기해 회원 정보 유출에 따른 2차 피해는 아직 한 건도 발생하지 않았고, 유출 사고가 재발하지 않도록 최선을 다하겠다”고 말했다.