[뉴스스페이스=김희선 기자] 국내 대표 결혼정보회사 듀오정보(듀오)에서 회원 약 43만명의 상세 프로필이 통째로 유출된 가운데, 피해자들이 집단 손해배상 소송에 나서며 ‘개인정보 해킹 사건’을 넘어 인격권 침해 이슈로 확산하고 있다.
이름·연락처를 넘어 키·체중, 연봉, 직장·직장주소, 혼인 경력, 결혼·이혼 연도, 가족관계, 자기소개 글 등 최대 70여개 이상의 내밀한 정보가 한 번에 빠져나간 것으로 확인되면서, 개인정보보호위원회(개인정보위)의 12억원대 제재를 토대로 대규모 민사소송이 줄잇는 모양새다.
43만명 프로필 ‘통째 유출’…최대 70여개 민감항목 노출
개인정보위에 따르면 이번 사고는 2025년 1월 듀오에서 개인정보를 취급하던 직원의 업무용 PC가 해킹을 당하면서 시작됐다. 해커는 악성코드를 통해 데이터베이스(DB) 서버 계정을 탈취한 뒤 정회원 42만7464명의 정보를 한 번에 내려받아 외부로 유출했다.
유출된 정보의 범위는 일반 온라인 서비스와는 차원이 다르다. 언론·법조계 취합 결과, 기본적으로 아이디, 이름, 연락처, 주소, 생년월일, 암호화된 주민등록번호 등 일반 정보에 더해 신장·체중·혈액형, 종교, 학력, 직장명·직장주소, 가족관계, 취미, 성격 성향, 자가용 보유 여부, 부동산·자산 상태, 연봉, 본적·호주 성명, 혼인 경력(초혼·재혼 여부), 결혼·이혼 연도, 이혼 사유, 실제 결혼생활 기간, 전 배우자 이름, 양육 자녀 수, 자기소개 글 등 극히 내밀한 항목까지 포함된 것으로 보도됐다.
주요 매체들은 유출 항목을 “최소 24종에서 많게는 수십 개 항목에 이르는 ‘인생 정보’ 전체”로 표현했고, 듀오가 자체 공지한 ‘유출 가능 항목’ 리스트를 토대로 “재산·건강·성격·혼인사유·자녀 현황·부동산·경제력 등까지 포함된 정밀 프로필 데이터가 한 번에 털렸다”고 지적한다.
한 피해자는 “혼인 경력, 사진, 직장명·직장주소, 거주지, 결혼·이혼 연도, 자기소개 글까지 유출돼 ‘광장에 벌거벗겨진 기분’”이라고 토로해, 사건의 체감 피해 수준을 단적으로 보여준다.
개인정보위 “안전조치·신고·파기 모두 위반”…과징금 11억9700만·과태료 1320만
개인정보위는 올해 4월 전체회의를 열어 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과했다. 정부가 결혼정보업체 한 곳에 12억원대 제재를 집행한 것은 이례적인 수준으로, 그만큼 사건의 중대성과 위법성이 컸다는 방증이다.
개인정보위 발표에 따르면 듀오의 위반 사항은 크게 ▲안전성 확보 조치 의무 위반 ▲유출 신고 지연 및 피해 통지 소홀 ▲개인정보 장기 보관·미파기 등 세 갈래다.
특히 피해 회원 약 30만명이 이미 듀오와 서비스 계약을 종료한 상태였음에도, 이들의 프로필이 그대로 저장돼 있다가 이번 해킹으로 한꺼번에 유출됐다는 점은 더욱 심각하다.
한 피해고객은 “상담 신청자까지 포함됐는지조차 명확한 안내가 없어, 결혼정보회사에 민감정보를 남겨둔 모든 이용자가 불안에 떨고 있다”고 말했다. 개인정보위는 듀오에 즉각적인 유출 통지와 사실 공개를 명령했고, 주민등록번호 대신 생년월일만 받도록 수집체계를 변경하라고 지적했다.
국내 첫 ‘대규모 결혼정보 DB 유출 사건’…집단소송, 기본 50만~100만원 위자료 구도
행정제재 이후 법조계와 시민사회에서는 “국내 대표 결혼중개업체의 핵심 데이터베이스(DB)가 통째로 털린 첫 사례”라는 평가와 함께 집단소송 움직임이 빠르게 확산하고 있다.
먼저 LKB·평산 등에서 46명 피해자를 대리해 1인당 100만원 위자료를 청구하는 집단소송이 서울중앙지법에 제기됐다. 이는 일반 개인정보 유출 사건에서 통상 10만~50만원 수준으로 청구되는 위자료보다 한 단계 높은 구간이다. 법조계 관계자는 “잠재 피해자가 약 43만명에 이르고, 유출 정보의 민감성이 매우 높아 추가 집단소송이 줄을 이을 것”이라고 설명했다.
법무법인 세담 역시 듀오 피해 회원들을 대리해 단체 손해배상 소송에 착수했고, 피해 유형(기본정보 유출, 추가 민감정보 제공, 2차 피해 발생 여부)에 따라 세분화된 청구 방식을 예고하고 있다. 세담은 개인정보위의 행정처분 결과를 민사소송에서 듀오의 과실·위법성을 입증하는 핵심 근거로 활용할 계획이며, 정신적 손해뿐 아니라 스미싱·사기·신원도용 등 잠재적인 2차 피해 위험까지 구체적으로 주장하겠다는 입장을 밝혔다.
아직까지 확인된 2차 피해 사례는 “현재까지 2차 피해는 발생하지 않았다”는 듀오 측 설명 외에는 공개된 바 없다. 다만, 전화번호·직장·거주지·연봉·혼인경력·가족관계 등 결합된 데이터셋이 범죄 조직에 넘어갈 경우, 스미싱·맞춤형 피싱·신용사기·스토킹 등에 악용될 잠재 위험이 크다는 점은 전문가들이 공통적으로 지적하는 대목이다.
탈퇴회원 정보까지 남긴 채 유출…쟁점은 ‘파기 의무’와 ‘인격권 침해’
이번 사건의 핵심 쟁점 가운데 하나는 “서비스 탈퇴 후 회원 정보가 적법하게 파기됐는가” 여부다. 즉 피해자 약 30만명은 이미 계약을 종료한 회원이었으나, 듀오가 가입일 기준 5년 보관 방침을 고지하고도 실제로는 파기하지 않고 보관해 왔기 때문이다. 피해자 증언처럼, 탈퇴 후에도 개인정보 유출 조회 시스템에 자신의 정보가 남아 있었고 실제 유출 대상에 포함된 사례가 확인되고 있다는 주장도 잇따르고 있다.
법조계 한 변호사는 "이 부분은 개인정보보호법상 ‘보유기간 경과 후 지체 없이 파기’ 의무와 직결되는 사안으로, 향후 민사소송·형사수사에서 듀오의 책임을 가중시키는 요소로 작용할 가능성이 크다"면서 "특히 결혼정보회사 특성상 혼인·이혼 경력, 가족관계, 부모·형제 상황, 자산·경제력 등 인생 전반을 담은 프로필이 통째로 남아 있었다는 점에서, 단순한 재무정보 유출보다 인격권 침해의 무게가 더 크게 평가될 여지가 있다"고 지적했다.
법무법인 세담은 이번 사건을 “단순 데이터 사고가 아니라 회원 사생활과 인격적 이익이 침해된 중대한 사안”으로 규정했고, 주요 미디어들도 “연봉·체중·가족사항까지 유출된 사건은 일반적인 개인정보 유출과는 차원이 다르다”는 이용자 비판을 전하고 있다. 인격권 침해가 인정될 경우, 정신적 손해배상 수준이 기존 통신·포털·카드사 유출 사건 대비 상향 조정될 가능성도 배제하기 어렵다.
결혼정보업 비즈니스 모델, ‘데이터 리스크’ 정면 노출
이번 듀오 사태는 국내 결혼정보업 비즈니스 모델이 갖고 있던 구조적 데이터 리스크를 정면으로 드러냈다는 점에서, 단일 사건을 넘어 산업 전반의 규제·보안 논의로 번질 조짐이다. 결혼중개 서비스는 매칭의 정밀도를 높이기 위해 회원의 신체·학력·직업·소득·자산·가족·혼인사 등 방대한 정보를 수집·분석하는 구조를 갖고 있다.
이는 곧 한 사업자가 특정 계층의 ‘인생 프로필’을 높은 해상도로 장기간 축적·보유한다는 뜻이며, 한번 유출되면 개별 항목이 아니라 ‘패턴과 스토리’가 통째로 노출되는 효과를 낳는다.
이번 사건에서 드러난 것처럼, 해커 입장에서 듀오 DB는 이름·전화번호 파일이 아니라, 성별·나이·연봉·재산·가족구성·혼인상태·신체조건이 연동된 종합 데이터셋이다. 이는 고위험 피싱·맞춤형 사기의 소재가 되는 동시에, 당사자들의 사회적 평판·직장생활·가족관계에 장기적인 영향을 미칠 수 있는 수준의 인격적 정보다. 법무법인 세담과 LKB·평산 등 다수 로펌이 ‘정신적 손해+잠재적 2차 피해’ 프레임을 전면에 내세우는 이유도 여기에 있다.
향후 법원의 판단에 따라 듀오가 1인당 50만~100만원 내외의 손해배상 책임을 인정받을 경우, 전체 피해 추정 43만명을 기준으로 잠재 배상액이 수천억 원대로 불어날 수 있다는 관측도 나온다. 개인정보위 제재 수준과 소송 청구액을 감안하면 결혼정보업계 전반의 보안·파기 관행을 재조정하는 계기가 될 가능성이 높다는 분석이다.
