"키·직업·혈액형 다 털렸다"…데이팅앱 '위피', 개인정보 유출에 1.2억 철퇴

데이팅앱 '위피', 본인인증 허점 뚫려 736명 상세 프로필 유출

프로필 사진·생년월일에 학력·직업·키·혈액형까지 포함

SKT, '이프랜드' 1140명 정보 유출 늑장 통지…과태료 360만원

[서울=뉴시스] 데이팅 앱 '위피' 로고 (사진=엔라이즈) *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = 데이팅 앱 '위피'에서 본인인증 취약점을 악용한 공격으로 이용자 700여명의 학력과 직업, 키, 혈액형 등 개인정보가 유출된 것으로 나타났다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 위피 운영사 엔라이즈에 과징금 1억1844만원과 과태료 360만원을 부과했다고 31일 밝혔다.

개인정보위에 따르면 신원 미상의 해커는 2023년 3월23일부터 27일까지 닷새 동안 1만6803개의 휴대전화번호로 로그인을 시도해 736개 계정의 개인정보를 빼냈다.

유출된 정보에는 닉네임과 성별, 프로필 사진, 생년월일뿐 아니라 성격과 학력, 직업, 키, 혈액형 등 이용자 프로필 정보가 포함됐다.

조사 결과 엔라이즈는 앱 내 본인인증 취약점에 대한 점검과 조치를 소홀히 했다. 동일 IP에서 과도한 접속이 발생해도 이를 차단하는 정책을 설정하지 않은 것으로 나타났다.

개인정보위는 이를 개인정보 보호법상 안전성 확보조치 의무 위반으로 판단해 엔라이즈에 과징금 1억1844만원과 과태료 360만원을 부과했다.

[서울=뉴시스] SK텔레콤은 이프랜드가 자체 기획한 다국적 메타버스 아이돌 '트리플 아이즈'의 첫 음원 '할라(Halla)'를 발표하고 글로벌 쇼케이스를 진행한다고 8일 밝혔다. 사진은 글로벌 팬들이 트리플 아이즈와 관련된 콘텐츠를 즐길 수 있는 트리플 아이즈 이프스퀘어 공간 (사진=SK텔레콤 제공) *재판매 및 DB 금지

개인정보위는 이날 SK텔레콤에도 과거 운영한 메타버스 서비스 '이프랜드' 이벤트 과정에서 발생한 개인정보 유출 사고와 관련해 과태료 360만원과 시정명령을 부과했다.

SK텔레콤은 이프랜드 이벤트 진행을 에이토즈에 위탁했다. 에이토즈는 이벤트용 웹사이트를 제작·운영하면서 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 적용하지 않았다.

이에 2022년 11월21일부터 2023년 1월3일까지 관리자 페이지가 검색엔진에 노출됐고 이벤트 참여자 1140명의 이름과 휴대전화번호가 외부로 유출됐다.

조사 결과 SK텔레콤에는 개인정보 처리 업무를 맡긴 수탁사에 대한 관리·감독 의무 위반 책임이 인정됐다. 개인정보 유출 사실을 인지한 이후 법에서 정한 시간 안에 이용자 통지와 당국 신고를 하지 않은 사실도 확인됐다.

이번 사건에는 당시 적용되던 옛 개인정보 보호법이 적용됐다. 당시 정보통신서비스 제공자는 개인정보 유출 사실을 인지하면 24시간 이내에 이용자에게 알리고 관계기관에 신고해야 했지만 SK텔레콤은 이 기한을 넘겼다.

개인정보위는 SK텔레콤에 과태료 360만원과 시정명령을 부과하고 접근통제 의무를 위반한 에이토즈에는 경고 처분했다.

SK텔레콤 측은 "개인정보위의 판단을 존중한다"며 "당사는 고객 정보보호를 위해 협력사 관리에도 만전을 기할 것"이라고 말했다.

[서울=뉴시스] 개인정보보호위원회가 지난 26일 제17차 전체회의를 열고 상정된 안건을 심의·의결했다. 사진은 송경희 개인정보위원장이 회의를 진행하는 모습. (사진=개인정보위 제공) 2026.08.26. [email protected] *재판매 및 DB 금지

개인정보위는 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하고 주기적으로 취약점을 점검·조치하는 등 기본적인 보안 원칙을 준수해야 한다고 강조했다.

개인정보 유출 사고가 발생할 경우 정보주체가 신속하게 대응할 수 있도록 법정 기한 안에 유출 신고와 통지를 해야 한다고 당부했다.


◎공감언론 뉴시스 [email protected]