23andMe 유전자정보 해킹·파산·거액 합의금 사태

2023년 10월 해커가 이미 다른 사이트에서 유출된 아이디·비밀번호를 재사용해 로그인을 시도하는 크리덴셜 스터핑 공격으로 약 1만4천 개의 23andMe 계정에 침투했다. 문제는 23andMe가 제공하는 'DNA 릴레이티브'라는 친족 매칭 옵션 기능이었는데, 이 기능에 동의한 이용자들의 정보가 서로 연결돼 있어 직접 뚫린 계정 수보다 훨씬 많은 최대 690만 명의 이름, 출생연도, 조상 유래 정보 등이 함께 노출됐다. 이는 비밀번호 하나로 수백 배에 달하는 파급력을 가진 유전정보 유출을 일으킬 수 있음을 보여준 사례로 꼽힌다. 회사는 초기에는 피해 규모를 축소해 설명했다는 비판을 받았다. 코네티컷주 법무장관 등 여러 주정부가 즉각 진상 규명을 요구하고 나섰다.

유출 직후 해커는 탈취한 데이터 중 아슈케나지 유대계 혈통으로 분류된 최소 100만 건의 프로필을 별도로 추려 다크웹 암시장에서 판매했다는 사실이 확인됐다. 중국계 혈통으로 표시된 이용자 명단 역시 별도로 묶여 거래된 정황이 드러나면서, 단순한 개인정보 유출을 넘어 특정 인종·민족을 표적으로 한 혐오범죄나 괴롭힘에 악용될 수 있다는 우려가 커졌다. 유전정보는 비밀번호처럼 바꿀 수 없다는 특성 때문에 피해자들은 영구적인 위험에 노출된 셈이 됐다. 이 사실이 알려지면서 23andMe에 대한 여론은 급격히 악화됐고, 이용자들의 집단소송이 잇따라 제기되는 계기가 됐다. 유전자 검사 서비스 산업 전반의 데이터 보안 관행에도 의문이 제기됐다.

2024년 9월 23andMe의 독립이사 7명 전원이 한꺼번에 사퇴하는 초유의 사태가 벌어졌다. 사퇴 배경에는 창업자 겸 CEO 앤 워짓키가 회사를 비상장으로 전환하려는 인수 제안을 두고 이사회와 정면으로 충돌한 것이 있었다. 해킹 사태 이후 주가가 폭락하고 소송 비용이 눈덩이처럼 불어나는 가운데 경영진과 이사회의 갈등까지 겹치며 회사는 사실상 통제 불능 상태에 빠졌다는 평가가 나왔다. 이후 회사는 앤드레 페르난데스, 짐 프랑콜라 등 신규 이사 3명을 서둘러 선임하며 수습에 나섰지만 시장의 불신은 가라앉지 않았다. 이 사건은 해킹 사고가 단순한 보안 문제를 넘어 기업 지배구조 붕괴로 번진 상징적 장면으로 남았다.

한때 기업가치 8조 원을 넘겼던 23andMe가 2025년 3월 24일 미국 법원에 챕터11 파산보호를 신청했다. 해킹 사고로 인한 신뢰 붕괴와 소송 비용, 유전자검사 시장 정체로 인한 매출 감소가 겹치며 결국 몰락한 것이다. 같은 시점 앤 워짓키는 CEO직에서 물러났고, 이는 자신이 추진하던 비상장 전환 인수 제안이 이사회의 반대에 부딪혀 무산된 데 따른 결과이기도 했다. 회사가 보유한 1,500만 명분의 유전체 데이터베이스가 파산 절차에서 매각 대상이 될 수 있다는 사실이 알려지며, 이용자들 사이에서는 자신의 유전정보가 누구 손에 넘어갈지 모른다는 불안이 확산됐다. 여러 주 법무장관들은 이용자들에게 데이터 삭제를 신청하라고 공개 권고했다.

2025년 5월 19일 미국 제약사 리제네론이 파산 법정 경매에서 23andMe의 자산을 2억5,600만 달러(약 3,560억 원)에 인수하기로 했다고 발표했다. 유전자 데이터를 신약 개발에 활용할 수 있는 제약회사가 인수자로 나서면서, 이용자 동의 없이 수집된 민감한 유전정보가 영리 목적의 신약 연구에 쓰일 수 있다는 우려가 다시 불거졌다. 소비자 プ라이버시 단체들은 파산 절차를 통한 자산 매각이 최초 수집 목적과 다른 방식으로 데이터를 활용하게 만든다며 반발했다. 이 소식은 창업자 앤 워짓키가 회사를 되찾기 위해 재입찰에 나서는 계기가 됐다. 결국 이 낙찰은 최종 확정되지 못하고 재경매 절차로 이어지게 된다.

리제네론의 낙찰 이후 창업자 앤 워짓키가 설립한 비영리 연구기관 TTAM 리서치 인스티튜트가 재입찰에 나서 3억500만 달러라는 더 높은 가격을 제시하며 파산 경매에서 최종 승리했다. 이는 유전정보를 영리 제약회사가 아닌 비영리기관이 관리하도록 함으로써 이용자 데이터 보호 우려를 일부 잠재우려는 시도로 해석됐다. 워짓키는 회사를 창업자 본인의 손으로 되찾은 셈이지만, 정작 대규모 해킹 사고에 대한 근본적 책임 규명은 마무리되지 않은 상태였다. 이 과정에서 회사의 지배구조는 상장기업에서 비영리 연구기관 산하 조직으로 완전히 뒤바뀌게 됐다. 업계에서는 이례적인 파산 후 창업자 복귀 사례로 평가했다.

로스앤젤레스타임스는 파산 절차를 마무리한 23andMe가 TTAM 리서치 인스티튜트 산하 비영리기관으로 재출범했으며, 앤 워짓키가 이용자 1억 명 확보라는 새로운 목표를 내걸었다고 보도했다. 회사는 영리 상장기업에서 비영리 연구기관으로 성격을 바꿔 유전자 데이터를 의학 연구에 활용하는 방향으로 사업 모델을 재설계했다고 밝혔다. 그러나 해킹 피해자들과 개인정보 보호 전문가들은 소유 구조가 바뀌었을 뿐 대규모로 수집된 유전정보가 여전히 집중돼 있다는 근본적 위험은 해소되지 않았다고 지적했다. 이 보도는 2023년 해킹으로 촉발된 위기가 3년 만에 회사의 정체성 자체를 바꾸는 결과로 이어졌음을 보여준다. 다만 이용자들에 대한 금전적 배상 문제는 이 시점까지도 완전히 매듭지어지지 않은 상태였다.

BBC는 미국 법원이 2023년 해킹 피해자들을 위한 4,675만 달러(약 650억 원) 규모의 집단소송 합의금을 최종 승인했다고 보도했다. 이는 유출 피해를 입은 이용자 개개인에게 직접 배상하기 위한 기금으로, 신용 모니터링 서비스 제공 등 다양한 구제 방안이 포함됐다. 판사는 합의안이 피해 규모에 비춰 합리적이라고 판단하며 승인했지만, 피해자 단체 일부는 유전정보라는 영구적 피해의 특수성을 감안하면 배상액이 충분치 않다는 반응을 보였다. 이 승인으로 2023년 해킹 이후 이어진 개별 피해자 소송전이 사실상 마무리 수순에 들어갔다. 회사가 파산과 소유권 변경을 겪은 상황에서도 법적 책임은 새 운영주체가 그대로 승계했다는 점도 확인됐다.

텍사스주 켄 팩스턴 법무장관은 2023년 데이터 유출과 관련해 23andMe로부터 별도로 1억5,000만 달러 규모의 합의금을 확보했다고 발표했다. 텍사스는 다른 43개 주와 함께하는 다주(多州) 합의와는 별개로 자체 소비자보호법 위반 혐의를 근거로 단독 협상을 진행해 온 것으로 알려졌다. 이는 미국 개별 주 정부가 대형 기술기업의 개인정보 유출 사고에 대해 연방 차원의 공동대응과는 별도로 독자적인 고액 제재에 나설 수 있음을 보여준 사례로 꼽힌다. 텍사스주는 확보한 배상금을 피해를 입은 주민들을 위한 구제 프로그램에 사용하겠다고 밝혔다. 이로써 23andMe가 부담해야 할 총 배상·합의금 규모는 더욱 불어나게 됐다.

23andMe는 2023년 해킹 사고와 관련해 미국 43개 주 법무장관과 1,800만 달러(약 250억 원) 규모의 다주 합의에 최종 서명했다고 발표했다. 이번 합의에는 향후 개인정보 보호 체계를 강화하고 정기적으로 보안 감사를 받는다는 내용도 포함됐다. 이 합의는 앞서 승인된 개인 피해자 대상 집단소송 합의금, 텍사스주의 단독 합의와는 별개로 진행된 것으로, 회사가 부담해야 할 총 제재·배상 규모를 한층 키웠다. 2023년 10월 해킹이 처음 알려진 지 약 2년 9개월 만에 관련 소송·제재의 큰 줄기가 마무리된 셈이다. 그러나 유전정보 유출이라는 피해의 본질적 특성상, 피해자들의 불안은 금전적 합의만으로 완전히 해소되지 않았다는 평가가 나왔다.