23일 개인정보보호위원회에 따르면, 지난해 1월 듀오 직원의 업무용 PC가 해킹되면서 정회원 42만7천464명의 개인정보가 외부로 빠져나갔다.

유출 정보에는 아이디와 비밀번호, 이름, 생년월일, 주민등록번호, 연락처, 주소 등 기본 인적사항은 물론 신장·체중·혈액형·종교·취미·혼인경력·형제관계·학력·직장 정보 등 민감한 프로필 내용이 포함됐다.

조사 결과, 듀오는 일정 횟수 이상 인증에 실패할 경우 접근을 차단하는 조치를 설정하지 않았고, 주민등록번호와 비밀번호에 안전성이 낮은 암호화 방식을 적용한 것으로 드러났다. 정회원 가입 시 별도 법적 근거 없이 주민등록번호를 수집·보관했고, 개인정보 처리방침에 명시한 보유기간(5년)이 지난 회원 정보 29만8천566건도 파기하지 않았다.

또 개인정보 유출 사실을 인지하고도 정당한 사유 없이 72시간을 넘겨 신고를 지연한 정황이 확인됐다. 피해 회원들에게 유출 사실을 통지하지 않아 2차 피해 방지에도 소홀했던 것으로 판단됐다.

개인정보위는 듀오에 과징금 11억9천700만원과 과태료 1천320만원을 부과하고, 유출 피해 회원에게 즉시 통지하도록 명령했다. 아울러 재발 방지를 위한 기술적·관리적 보호조치 강화, 최소 수집 원칙 준수, 명확한 파기 지침 수립 등 전반적인 개인정보 관리체계 개선과 처분 사실의 홈페이지 공표를 요구했다.

이정은 개인정보위 조사조정국 조사2과 과장은 “결혼중개업법상 국내 결혼 중개 사업자가 주민등록번호를 수집할 명시적 근거가 없음에도 듀오가 이를 수집·유출했다”며 “현재는 회원 가입 시 주민등록번호 대신 생년월일만 받고 있다”고 밝혔다.

듀오 측은 “개인정보위 판단을 존중하며 회원들에게 사과한다”며 “현재까지 2차 피해는 발생하지 않았고, 재발 방지에 최선을 다하겠다”고 말했다.