들어가며
듀오를 몇 해 전에 그만뒀는데, 42만 명 유출에 내 정보도 들어 있을까요?
들어 있을 수 있습니다. 보유기간이 지난 29만 8,566건도 같이 나갔고,
현재까지 확인된 유출정보는 이름·전화번호·이메일 정도로 판단 됩니다.
오늘 블로그는, 10월 6일 국정감사에서 나온 한 문장으로 시작해 보려고 합니다.
과학기술정보방송통신위원회에서 황정아 의원이 유출 피해 보상안을 물었고,
듀오 박수경 대표는 「회원들이 바라는 보상은 결혼정보 서비스를 잘 이용해 좋은 배우자를 찾는 것」이라고 답했습니다.
2025년 1월에 나간 정회원 42만 7,464명의 정보 이야기입니다.
이 글은 그 발언 이야기 대신, 내 정보가 들어 있는지 확인하는 곳, 탈퇴한 회원도 왜 대상이 되는지,
그리고 회사가 말하는 보상과 내가 청구하는 배상이 어떻게 다른지를 적어보려고 합니다.
(2026년 10월 8일 기준입니다. 소송과 조정이 진행 중이라 내용은 바뀔 수 있습니다.)
1. 듀오 정보유출 확인 페이지 — 2025년 1월 27일 이전 가입자 전원
듀오 홈페이지의 「개인정보 유출 확인 서비스」에 이름·휴대폰번호·이메일을 넣으면 되고, 로그인은 필요 없습니다.
주소창에 duo.co.kr 을 직접 입력해 들어가서 그 메뉴를 찾으시면 됩니다.
조회 대상은 2025년 1월 27일까지 가입한 회원 전원입니다.
지금 회원이 아니어도 그 전에 가입한 적이 있으면 조회가 되는 거죠.
여기가 중요합니다.
개인정보보호위원회는 4월 22일 전체회의에서,
듀오가 개인정보처리방침에 적은 보유기간 5년이 지난 정보 29만 8,566건을 파기하지 않고 있었다고 밝혔습니다.
유출된 42만 7,464명 중 열에 일곱 가까이가 그 정보였다는 뜻입니다.
계약이 끝났거나 탈퇴한 지 오래된 분이 오히려 다수라는 겁니다.
자, 유출 경위는 세 줄로 정리 가능합니다.
먼저, 2025년 1월 직원 업무용 PC가 악성코드에 감염됐고,
둘째, 거기서 확보한 DB 서버 계정으로 회원 DB에 들어가 정회원 정보 전체를 내려받았습니다.
셋째, 듀오는 법이 정한 72시간 안에 신고하지 않았고, 회원에게는 1년 넘게 알리지 않았다는 게 개인정보위 판단입니다.
개인정보위는 「개인정보 보호법」 제34조 제1항에 따른 유출 통지를 즉시 하라고 명령했고,
통지 메일은 5월부터 가입할 때 쓴 이메일로 나간 것으로 전해집니다.
가입할 때 쓴 이메일을 지금은 안 쓰시는 분이 많으실 겁니다.
그래서 메일을 기다리지 말고 확인 페이지에서 직접 보시는 게 맞습니다.
메일함에서 「듀오」로 검색해 5월 이후 통지 메일이 있으면 그것도 같이 보관해 두세요.
결과 화면은 캡처해 두세요.
나중에 조정이나 소송에서 「내 정보가 나갔다」를 증명하는 첫 서류입니다.
2. 유출 항목 24종 — 비밀번호부터 바꿔야 하는 이유
아이디와 비밀번호가 함께 나갔고 그 비밀번호의 암호화 방식이 안전하지 않았다는 게 개인정보위 판단이라, 듀오와 같은 비밀번호를 쓰는 다른 사이트를 오늘 바꿉니다.
나간 항목을 묶어 보면 이렇습니다.
| 묶음 | 항목 |
|---|---|
| 계정·신원 | 아이디 · 비밀번호 · 이름 · 생년월일 · 주민등록번호(암호화) · 성별 · 이메일 · 휴대전화번호 · 주소 |
| 신체 | 신장 · 체중 · 혈액형 |
| 생활·가족 | 종교 · 취미 · 혼인경력 · 형제관계 · 장남·장녀 여부 |
| 학력·직장 | 학교명 · 전공 · 입학·졸업 연도 · 학교 소재지 · 입사 연월 · 직장명 |
| 일부 회원만 | 건강 상태 약 31만 건 · 연수입 약 26만 건 · 재산 약 12만 건 · 이혼 사유 약 3만 3천 건 · 전 배우자 이름 약 2만 9천 건 · 병역 미필 사유 약 1만 6천 건 |
마지막 줄 숫자는 국정감사에서 황정아 의원이 공개한 자료를 보도로 받은 것이라 참고치로 보시면 됩니다.
카드번호·계좌번호 같은 금융정보는 없었다고 듀오가 밝혔습니다. 이것도 4월 보도 기준입니다.
우선, 비밀번호 이야기부터 하려고 합니다.
개인정보위는 듀오가 주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용했다고 봤습니다.
「암호화됐다」가 「못 읽는다」는 뜻이 아니라는 거죠.
듀오 비밀번호를 다른 사이트에서도 썼다면, 공격자는 그 아이디와 비밀번호를 다른 사이트에 그대로 넣어 봅니다.
이것을 크리덴셜 스터핑이라고 부릅니다.
듀오 계정 자체보다 같은 비밀번호를 쓴 이메일·포털·쇼핑몰이 먼저 위험합니다.
주민등록번호도 남습니다.
개인정보위는 듀오가 별도 법적 근거 없이 주민등록번호를 수집·저장했다고 판단했습니다.
「개인정보 보호법」 제24조의2가 법률·대통령령 같은 근거 없이는 주민등록번호를 처리할 수 없게 정하니까요.
그 번호가 나갔으니 명의도용에 대비하셔야 합니다.
- 엠세이퍼 가입제한 — 내 이름으로 휴대폰이 개통되는 걸 막습니다
- 여신거래 안심차단 — 주거래 금융회사 앱에서 신청하면 내 이름의 대출·카드 발급이 막힙니다
둘 다 무료고, 신청 방법은 여기서는 별도로 다루지 않겠습니다. 어렵지 않습니다.
주민등록번호 변경은 유출 사실만으로는 안 되고 실제 피해 우려가 인정돼야 하니, 그건 나중 단계입니다.
3. 듀오 사칭·소개 상대 사칭 — 이 프로필로 벌어지는 일 셋!
이 정보는 돈을 바로 빼 가는 데 쓰이는 게 아니라, 나를 믿게 만드는 데 쓰입니다.
경찰과 듀오는 4월 기준으로 2차 피해 정황은 없다고 했습니다.
다만 키·직장·종교·혼인경력은 시간이 지나도 쓸모가 사라지지 않는 항목입니다.
올 수 있는 연락은 세 갈래입니다.
- 듀오 사칭. 「유출 피해 보상금 신청」「피싱 예방보험 가입 안내」 링크나 앱. 듀오가 국정감사에서 보상으로 피싱 예방보험·포인트·쿠폰을 말했으니, 지금이 이 말이 가장 잘 통하는 때입니다
- 커플매니저·소개 상대 사칭. 내 조건을 다 아는 사람이 「조건 맞는 분이 있다」로 시작해, 친해진 뒤 투자나 송금으로 넘어갑니다. 결혼정보회사 회원이라는 사실 자체가 이 수법의 재료입니다
- 협박. 이혼 사유·건강 상태·병역 사유를 들고 「가족이나 직장에 알리겠다」고 합니다. 돈을 보내면 끝나는 게 아니라 다음 요구가 옵니다
📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.
[○○결혼정보] 김○○ 회원님(19○○년생, ○○회사 재직), 개인정보 유출 피해 보상 대상자로 확인되었습니다. 아래에서 본인 확인 후 보상금 수령 계좌를 등록하세요.
hxxp://member-compensation[.]example
사기인지 아닌지 판단하는 기준은 딱 하나입니다.
문자나 메일 안에 적힌 번호와 링크는 쓰지 않고,
듀오 홈페이지에 적힌 대표번호 1577-8333 으로 내가 다시 걸어서 직접 확인합니다.
그리고 상대가 앱 설치, 인증번호, 계좌 비밀번호, 신분증 사진, 상품권 중 하나를 요구하면 확인할 것도 없이 끊으시면 됩니다. 사기입니다.
협박이라면 돈을 보내지 말고, 대화를 캡처한 뒤 112로 신고합니다.
4. 보상과 배상은 다릅니다 — 보험·포인트 vs 분쟁조정·소송
듀오가 말하는 보상은 회사가 정해서 주는 것이고, 배상은 분쟁조정이나 소송으로 내가 청구하는 것이라 서로 다른 절차입니다.
| 회사 보상 | 개인정보 분쟁조정 | 민사소송 | |
|---|---|---|---|
| 누가 정하나 | 듀오 | 개인정보분쟁조정위원회 | 법원 |
| 내용 | 피싱 예방보험·포인트·쿠폰(10.6 국정감사 답변) | 조정안, 양쪽이 받으면 재판상 화해 효력 | 판결 또는 법원 조정 |
| 비용 | 없음 | 없음 | 인지대·송달료, 변호사 비용 |
| 기간 | 미정 | 접수 후 60일, 연장 가능 | 수개월에서 수년 |
| 지금 상태 | 「피해가 확인되면 충분히 보상」(10.6) | 5월 17일 기준 30여 건 접수, 집단 신청은 없음 | 원고 1,072명 1인 100만 원 청구 · 1차 사건 6월 10일 조정 회부 |
과징금 11억 9,700만 원은 국고로 갑니다. 피해자에게 오는 돈이 아니라는 뜻이고요.
보상을 받았다고 배상 청구권이 자동으로 사라지는 건 아닙니다.
다만 보상을 받을 때 「이의를 제기하지 않는다」「합의한다」 같은 문구에 동의하게 돼 있는지는 읽으셔야 합니다.
분쟁조정은 「개인정보 보호법」 제43조에 따라 누구나 신청할 수 있습니다.
kopico.go.kr 에서 온라인으로 내고, 비용은 없고, 상담은 1833-6972 입니다.
제44조에 따라 접수일부터 60일 안에 조정안이 나오고, 연장될 수 있습니다.
조정안을 받으면 15일 안에 답해야 하고, 가만히 있으면 수락한 것으로 봅니다(제47조).
같은 피해자 50명 이상이 모이면 제49조의 집단분쟁조정도 되는데, 5월 17일 기준으로 듀오 건의 집단 신청은 없었다고 보도됐습니다.
소송으로 가면 제39조의2의 법정손해배상이 있습니다.
손해액을 증명하지 않아도 300만 원 이하에서 법원이 금액을 정하는 길입니다.
300만 원은 상한이지 받는 돈이 아닙니다.
1,072명이 낸 소송의 1차 사건은 6월 10일 서울중앙지법이 조정에 회부했습니다. 법원도 합의부터 시켜 본 것이죠.
다른 법무법인은 1인당 300만 원을 청구하는 소송을 따로 냈다고 보도됐습니다.
⚠️ 집단소송 참여 모집을 보셨다면 착수금·성공보수·패소 시 부담을 서면으로 확인하세요. 이 글은 특정 법률사무소를 권하지 않습니다.
시효는 「민법」 제766조에 따라 손해와 가해자를 안 날부터 3년입니다.
통지를 받은 2026년 5월이 기산점이 될 가능성이 크니, 급하지는 않지만 달력에 적어 두시면 됩니다.
5. 탈퇴했는데 왜 남아 있나 — 열람·삭제 요구 순서
「개인정보 보호법」 제21조는 보유기간이 지나면 지체 없이 파기하라고 정하고, 제35조·제36조는 보여 달라·지워 달라 요구할 권리를 주니, 캡처를 마친 뒤 요구하시면 됩니다.
순서가 있습니다.
첫째, 유출 확인 결과와 통지 메일을 캡처합니다.
삭제를 먼저 요구하면 내 정보가 거기 있었다는 증거도 함께 사라지니까요.
둘째, 열람을 요구합니다.
제35조에 따라 듀오는 요구를 받은 날부터 10일 안에 무엇을 갖고 있는지 보여 줘야 합니다.
접수처는 듀오 홈페이지 개인정보처리방침에 적힌 개인정보 보호책임자 연락처입니다.
셋째, 삭제를 요구합니다. 제36조입니다.
넷째, 거부되거나 답이 없으면 개인정보침해 신고센터 118 에 신고하거나 분쟁조정을 신청합니다.
열람·삭제 요구권 행사도 분쟁조정 대상입니다.
상담만 받고 정회원 가입은 하지 않은 분도 열람 요구는 해 보실 만합니다.
경향신문이 5월 26일 전직 직원 증언으로 보도한 내용을 보면,
5년이 지난 자료에 「5년 경과, 컨택 시 주의」 표시를 붙여 신입 직원에게 배정했고,
가입을 거부한 고객 정보도 폐기하지 않았다고 합니다.
보도 기준이라 참고치지만, 열람 요구는 비용이 들지 않습니다.
자주 묻는 것
Q. 듀오가 주는 포인트나 보험을 받으면 소송을 못 하나요?
받는 것만으로 청구권이 없어지지는 않습니다. 다만 받을 때 동의하는 안내문에 「합의」「이의 제기 않음」 같은 문구가 있으면 그 범위에서 다툼이 생길 수 있습니다. 문구를 읽고 캡처한 뒤 받으세요. 10월 8일 기준으로 보상안이 실제로 어떤 조건으로 집행되는지는 확인되지 않았습니다.
Q. 상담만 받고 정회원 가입은 안 했는데도 제 정보가 있나요?
확인 페이지는 가입 회원만 조회됩니다. 다만 가입을 거부한 고객 정보도 보관했다는 전직 직원 증언이 보도됐으니, 제35조 열람 요구로 직접 물어보시면 됩니다. 10일 안에 답이 와야 하고, 비용은 없습니다.
Q. 분쟁조정을 신청하고 소송도 같이 할 수 있나요?
둘을 동시에 진행하면 조정 쪽에서 빠집니다. 집단분쟁조정은 소송을 제기한 사람을 절차에서 제외하고, 개별 조정도 소송이 걸리면 종결됩니다. 조정이 불성립으로 끝난 뒤 소송으로 가는 게 순서입니다.
Q. 주민등록번호는 암호화돼 있었다는데 바꿔야 하나요?
바꾸는 건 지금 단계가 아닙니다. 주민등록번호 변경은 유출 사실만으로는 안 되고 실제 피해 우려가 인정돼야 하기 때문입니다. 대신 개인정보위가 「안전하지 않은 알고리즘」이라고 판단한 만큼 번호가 읽혔다고 가정하고, 엠세이퍼 가입제한과 여신거래 안심차단을 오늘 거시면 됩니다.
마무리
글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.
듀오를 그만둔 지 몇 해가 지났어도 내 정보는 거기 있었고, 확인은 이름·전화번호·이메일로 됩니다.
확인 결과를 캡처하고, 같은 비밀번호를 쓰는 사이트부터 바꾸세요.
근거 자료
- 개인정보보호위원회 제7회 전체회의 듀오정보 처분 의결(2026.4.22 의결·4.23 발표) — 과징금 11억 9,700만 원·과태료 1,320만 원 · 정회원 42만 7,464명 유출 · 보유기간 5년 경과 29만 8,566건 미파기 · 법적 근거 없는 주민등록번호 수집 · 주민등록번호·비밀번호 안전하지 않은 암호화 · 인증 실패 시 접근 제한 미조치 · 72시간 내 미신고 · 제34조 제1항 유출 통지 즉시 실시 명령 · 처분 사실 홈페이지 공표. 아시아경제·주간경향·헤럴드경제·데일리시큐(4.23) 보도 경유, 보도자료 원문 미확인
- 듀오 「개인정보 유출 확인 서비스」 페이지(2026.10.8 확인) — 2025년 1월 27일까지 가입한 회원 대상 · 이름·휴대폰번호·이메일 입력 · 대표번호 1577-8333
- 국회 과학기술정보방송통신위원회 국정감사(2026.10.6) — 황정아 의원 질의, 박수경 대표 「회원들이 바라는 보상은 결혼정보서비스를 잘 이용해 좋은 배우자를 찾는 것」 · 보상안 피싱 예방보험·포인트·쿠폰 · 항목별 건수(건강 약 31만·연수입 약 26만·재산 약 12만·이혼 사유 약 3만 3천·전 배우자 이름 약 2만 9천·병역 미필 사유 약 1만 6천). 서울경제·트위그24(10.7) 보도 경유
- 서울중앙지법 2026가단49045 — 2026.5.7 제소(46명, 1인 100만 원), 6.10 조정 회부 · 2차 455명·3차 571명 합계 1,072명. 법률신문(5.7)·뉴시스·데일리안(6.16) 보도 경유 · 1인 300만 원 청구 별건 소송은 시사저널 보도 경유
- 개인정보분쟁조정위원회 분쟁조정 접수 30여 건, 집단 신청 없음(2026.5.17) — 연합뉴스TV 보도 경유
- 경향신문 「'43만 개인정보 유출' 듀오 임원 "1등 업체라 털렸다"」(2026.5.26) — 5년 경과 자료 표시·배정, 가입 거부 고객 정보 보관(전직 직원 증언)
- 「개인정보 보호법」 제21조(파기) · 제24조의2(주민등록번호 처리의 제한) · 제29조(안전조치의무) · 제34조(유출 등의 통지·신고) · 제35조(열람) · 제36조(정정·삭제) · 제39조의2(법정손해배상) · 제43조(조정의 신청) · 제44조(처리기간) · 제47조(분쟁의 조정) · 제49조(집단분쟁조정) · 「민법」 제766조(소멸시효)
- 개인정보분쟁조정위원회 안내(kopico.go.kr, 2026.10.8 확인) — 누구나 신청 · 온라인·우편 · 비용 없음 · 재판상 화해 효력 · 집단분쟁조정 50명 이상 · 상담 1833-6972
- 개인정보침해 신고센터 118 · 금융 피해 신고 112
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건·금액·시효는 사안마다 다르니 변호사 또는 대한법률구조공단(132)에 확인하세요.
⚠️ 민사소송과 분쟁조정이 진행 중입니다. 듀오의 책임 범위와 배상액은 확정되지 않았습니다. 듀오가 개인정보위 처분에 불복했는지는 확인하지 못했습니다. 개인정보위 발표와 국정감사 답변은 모두 보도로 받은 것이며, 이 글은 듀오의 책임을 단정하지 않습니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 회사명은 가명이고 도메인은 예약된 예시용 주소입니다.
#보안로그 #생활보안 #개인정보유출 #듀오개인정보유출 #듀오유출확인 #결혼정보회사 #개인정보보호법 #법정손해배상 #개인정보분쟁조정 #크리덴셜스터핑 #명의도용 #주민등록번호유출 #열람요구 #삭제요구 #정보보안
댓글
댓글 쓰기