듀오정보 42만 명 개인정보 유출 사건

2025년 1월 28일 해커가 결혼정보회사 듀오정보 직원의 업무용 PC를 악성코드로 감염시킨 뒤 데이터베이스(DB) 서버 계정 정보를 확보했다. 해커는 확보한 계정으로 회원 DB에 접근해 그 전날까지 가입한 정회원 42만7464명의 개인정보 일체를 외부로 유출했다. 해커의 DB 접근 시 인증 실패 횟수를 제한하는 보안 조치가 없었던 것으로 확인됐으며, 비밀번호에는 안전하지 않은 암호화 알고리즘이 적용돼 있었다. 이는 국내 결혼정보회사 사상 최대 규모의 개인정보 유출 사고로 기록됐다. 사고 당시 듀오는 이를 즉시 감지하지 못한 것으로 드러났다.

개인정보보호법은 개인정보 유출 사고 인지 시 72시간 이내 신고를 의무화하고 있으나, 듀오는 이 법정 기한을 넘겨 지연 신고한 것으로 드러났다. 회사는 유출 사실을 인지한 이후에도 정보주체인 회원들에게 개별 통지를 하지 않아 피해자들은 오랫동안 자신의 정보가 유출된 사실을 알지 못했다. 이 같은 늑장 대응은 이후 개인정보보호위원회 제재의 핵심 근거가 됐다. 결혼정보업 특성상 유출 정보에는 혼인경력·재산 등 극히 민감한 개인정보가 포함돼 있어 피해자들의 불안감이 컸다. 회사 측의 초기 대응 부실이 피해를 키웠다는 비판이 이어졌다.

듀오 회원 42만7464명의 개인정보가 유출된 사실이 사고 발생 약 1년 3개월 만인 2026년 4월 23일 언론 보도를 통해 뒤늦게 드러났다. 유출된 정보에는 아이디·비밀번호·생년월일·주민등록번호 등 기본 정보뿐 아니라 신장·체중·혈액형·종교·혼인경력·학력·직장명 등 개인의 성향과 이력을 보여주는 민감정보가 대거 포함됐다. 일부 회원의 경우 부동산·현금 등 재산 규모와 원천징수 내역까지 유출된 것으로 확인됐다. 회원 1인당 최대 72가지의 개인정보가 유출돼 사실상 가입자의 '인생 프로필' 전체가 빠져나갔다는 평가가 나왔다. 결혼정보회사가 다루는 정보의 민감성을 감안할 때 피해 파장이 상당했다.

조사 과정에서 듀오가 법적 근거 없이 회원들의 주민등록번호를 수집·보관해온 사실도 함께 드러났다. 또한 개인정보처리방침상 보유 기한인 5년이 지난 회원 29만8566건의 정보를 파기하지 않고 계속 보관해온 사실도 확인됐다. 이는 개인정보보호법상 '최소 수집 원칙'과 '파기 의무'를 모두 위반한 것으로, 단순 해킹 피해를 넘어 회사의 상시적인 개인정보 관리 부실을 드러낸 것으로 평가됐다. 민감정보를 다루는 업종임에도 기본적인 보안·관리 가이드라인을 지키지 않았다는 비판이 거세졌다. 이 문제는 이후 개인정보보호위원회의 제재 수위를 결정하는 데 영향을 미쳤다.

개인정보보호위원회는 듀오정보에 대해 과징금 11억9700만 원과 과태료 1320만 원을 부과하고, 유출 회원 전체에 대한 개별 통지와 재발 방지 대책 마련, 최소 수집 원칙 준수 등을 시정 명령했다. 개인정보위는 듀오가 민감정보를 대규모로 다루면서도 기본적인 보안 가이드라인조차 지키지 않았다고 지적했다. 특히 72시간 신고 기한을 넘긴 늑장 대응과 장기 미파기 정보 보관이 제재 수위를 높인 주요 요인으로 꼽혔다. 이번 제재는 결혼정보업계 전반의 개인정보 관리 체계에 대한 경각심을 높인 사례로 평가됐다. 개인정보위는 유사 업종에 대한 실태 점검 확대도 예고했다.

피해 회원들은 지음·LKB평산 등 법무법인을 대리인으로 선임해 듀오를 상대로 집단 손해배상 소송에 나섰다. 원고 측은 회사가 민감정보 보안 관리를 소홀히 했을 뿐 아니라 유출 사실을 뒤늦게 통지해 피해 회복 기회를 놓치게 했다고 주장했다. 결혼정보회사가 다루는 개인정보의 민감성과 파장을 고려할 때 배상액 규모가 상당할 것으로 예상됐다. 법조계는 이번 소송이 향후 민감정보 유출 사고에서 기업 책임 범위를 가늠하는 판례가 될 수 있다고 전망했다. 소송은 계속 진행 중이며 결과에 따라 관련 업계 전반의 보안 투자 확대가 예상된다.