“키·몸무게·직업·혼인 경력까지 털렸다.”
상대를 찾기 위해 입력한 내밀한 정보가 해커의 손에 넘어가는 사고가 잇따르고 있다. 결혼정보업체 듀오에 이어 데이팅 앱 ‘위피’에서도 개인정보가 유출되면서, 만남 중개 서비스의 허술한 보안 관리가 다시 도마 위에 올랐다.
사진·학력·직업·키까지…‘위피’ 이용자 736명 정보 샜다
1일 개인정보보호위원회에 따르면 개인정보위는 데이팅 앱 ‘위피’를 운영하는 엔라이즈에 개인정보보호법상 안전조치 의무 위반으로 과징금 1억1844만원과 과태료 360만원을 부과하기로 했다.
문제가 된 것은 앱의 본인인증 과정이었다. 신원을 알 수 없는 공격자는 2023년 3월 23일부터 27일까지 1만6803개의 휴대전화번호를 이용해 로그인을 반복적으로 시도했고, 이 과정에서 736개 계정의 개인정보가 유출됐다.
외부로 빠져나간 정보는 단순한 아이디 수준에 그치지 않았다. 성별과 프로필 사진, 생년월일을 비롯해 성격, 학력, 직업, 키, 혈액형 등 이용자가 상대를 소개받기 위해 입력한 상세 프로필이 포함됐다.
개인정보위 조사 결과 엔라이즈는 본인인증 시스템의 취약점을 충분히 점검하거나 보완하지 않았고, 동일한 인터넷주소(IP)에서 비정상적으로 많은 접속이 발생했을 때 이를 탐지·차단하는 정책도 설정하지 않은 것으로 나타났다.
엔라이즈는 사고 이후 문제가 된 본인인증 시스템을 폐기하고 PASS 인증 방식으로 변경했다고 밝혔다. 회사 측은 “비정상적인 접근을 탐지·차단하기 위한 보안 정책도 보완하는 등 재발 방지 조치를 완료했다”고 설명했다.
사원증·소득증빙까지 요구…‘신종 소개팅’도 개인정보 사각지대
개인정보를 폭넓게 수집하는 만남 서비스는 결혼정보회사와 데이팅 앱에 그치지 않는다. 최근에는 여러 남녀가 일정 시간마다 상대를 바꿔 만나는 ‘로테이션 소개팅’ 등 새로운 형태의 서비스도 늘고 있다.
일부 업체는 참가 신청 과정에서 이름과 연락처, 직업, 키, 사진과 함께 사원증·명함·재직증명서 등을 요구한다. 특정 연봉 이상 직장인을 대상으로 할 경우 소득 증빙자료를 받기도 한다. 다른 업체에서는 키와 체중, 이상형, 직장·직업, 얼굴·전신사진과 함께 미혼·사실혼 여부까지 확인한다.
업체 규모가 작더라도 신체조건과 직업, 소득, 사진 등 한 사람의 상세한 정보가 한곳에 모이는 만큼 유출 사고가 발생하면 피해가 커질 수 있다는 우려가 나온다.
IT업계 한 관계자는 “만남 중개 서비스는 일반 서비스보다 구체적인 정보를 요구하는 경우가 많다”며 “소규모 사업자 역시 개인정보 수집을 필요한 범위로 최소화하고 보유기간과 접근 권한을 명확히 관리해야 한다”고 뉴시스에 말했다.
11일부터 중대 사고 과징금 최대 매출의 10%
앞서 지난해 1월 결혼정보회사 듀오에서도 정회원 42만7464명의 개인정보가 유출됐다. 직원의 업무용 PC가 해킹되면서 이름과 연락처, 주소는 물론 키·몸무게, 종교, 혼인 경력, 학교·직장 정보 등이 외부로 빠져나갔다.
조사에서는 일정 횟수 이상 인증에 실패해도 접근을 제한하지 않은 점과 주민등록번호·비밀번호에 안전하지 않은 암호화 방식을 적용한 점 등이 확인됐다. 보유기간 5년이 지난 회원 정보 29만8566건을 파기하지 않은 사실도 드러났다.
개인정보위는 지난 4월 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과했다.
정부는 잇따른 사고에 제재와 점검을 강화하고 있다. 오는 11일부터 고의·중과실로 위반을 반복하거나 대규모 피해를 일으킨 중대 사고에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 피해 확산 방지 조치를 제대로 하지 않으면 과징금이 최대 30% 가중된다.
개인정보위는 결혼정보업체를 실태점검 대상에 포함하고 올해 만남중개 서비스 7개의 개인정보 처리방침도 평가하기로 했다.
송경희 개인정보보호위원장은 지난 5월 “국민이 느끼는 사건 심각성에 비해 제재 규모가 작다고 느낄 수 있다”며 실질적인 사전 예방 투자로 이어질 수 있도록 제도를 개선할 필요가 있다고 밝혔다.