2025년 1월 듀오정보에서 개인정보를 취급하던 직원의 업무용 PC가 악성코드에 감염됐다. 해커는 이 PC를 통해 DB 서버 계정 정보를 확보한 뒤 회원 데이터베이스 서버에 접속했고, 정회원 42만7464명의 개인정보를 내려받아 외부로 유출했다.
유출된 정보에는 아이디, 암호화된 비밀번호, 이름, 생년월일, 암호화된 주민등록번호, 성별, 이메일 주소, 휴대전화번호, 주소, 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 가족관계, 학력, 직장명 등이 포함됐다. 개인정보보호위원회는 결혼중개 서비스 특성상 개인의 생활과 성향을 드러내는 정보가 대량으로 포함돼 2차 피해 방지 대응이 중요했다고 봤다.
조사 결과 듀오정보는 회원 DB 접속 과정에서 일정 횟수 이상 인증 실패 시 접근을 제한하는 조치를 설정하지 않았고, 주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용한 것으로 확인됐다. 또한 정회원 가입 시 주민등록번호를 별도 법적 근거 없이 수집·저장했으며, 개인정보처리방침상 보유기간 5년이 지난 정회원 정보 29만8566건도 파기하지 않았다.
개인정보보호위원회는 듀오정보에 과징금 11억9700만원과 과태료 1320만원을 부과하고, 유출 사실을 정보주체에게 즉각 통지하라고 명령했다. 또 재발 방지를 위한 안전조치 강화, 최소 수집 원칙에 맞춘 개인정보 처리 방식 점검, 명확한 파기 지침 수립, 처분 사실 홈페이지 공표를 요구했다.
개인정보보호위원회 조사에서 인증 실패 제한 미설정, 안전하지 않은 암호화, 법적 근거 없는 주민등록번호 수집·저장, 보유기간 경과 정보 미파기, 유출 신고 지연과 미통지 등이 함께 확인됐다.
다수 보도는 피해 규모를 43만 명으로 표기하지만, 개인정보보호위원회 조사 결과와 일부 보도는 정회원 42만7464명으로 더 구체적인 수치를 제시한다.
언론 보도에서 신체조건, 혼인경력, 직업, 학력, 자산 등 민감한 프로필 정보가 대량 유출됐다는 점을 43만 명 규모로 요약해 보도했다.
조사 결과는 해커가 회원 데이터베이스 서버에 접속해 전체 정회원 42만7464명의 개인정보를 내려받아 외부로 유출했다고 설명한다.