韓国の結婚情報最大手の「デュオ情報」（以下、デュオ）から会員43万人の個人情報の詳細が大量に流出したことが発覚し、当局が制裁に乗り出した。IDやパスワードといった単純なアカウント情報だけでなく、学歴・職場・婚姻歴（初婚・再婚）・電話番号などの敏感な情報も丸ごと流出した。個人情報保護委員会は22日に全体会議を開き、個人情報保護法規に違反したデュオに対し、課徴金11億9700万ウォン（約1億2900万円）と過料1320万ウォンなどを科すことを議決したと23日、発表した。

今回の流出は、外部からのハッキングに加え、内部的な安全措置の不備によって発生したものと把握された。昨年1月、個人情報を取り扱う職員が業務用PCでマルウエア（悪意のあるコード）に感染したウェブサイトを訪問して資料をダウンロードした際に感染し、ハッカーが該当PCを遠隔操作できるようになったことが判明した。ハッカーは会員データベース（DB）に接続して情報を盗み出した。これにより、デュオの正会員全員である42万7464人の情報が丸ごと流出した。


流出した情報は、単純なアカウント情報の水準を超えている。一般のショッピングモールとは異なり、会員の敏感な情報を多数保有している結婚情報業者の特性のためだ。個人情報保護委員会がデュオから流出したことを確認した個人情報の種類は、少なくとも24を超える。IDとパスワード、氏名、生年月日、住民登録番号、性別、メールアドレス、携帯電話番号、住所、身長、体重、血液型、宗教、趣味、婚姻歴、兄弟関係、長男・長女の別、出身校、専攻、入学年度、卒業年度、学校の所在地、入社年月、職場名などだ。デュオが個別に同意を得て会員から選択的に収集した情報も流出した。住居形態、所有の有無、自家用車の有無、本人および家族所有の不動産、眼鏡着用の有無、性格、外観、義父母との同居、健康状態など敏感な情報が多い。個人情報保護委員会の関係者は「DBが丸ごと流出したため、デュオがDBに登録した情報はすべて流出したと見ていい」と述べた。


デュオのセキュリティ管理は杜撰だった。DB接続時に認証失敗回数の制限がなく、総当たり攻撃（ブルートフォース攻撃）に脆弱であり、パスワードと住民登録番号には安全性の低い暗号化方式が使用されていた。特に正会員の入会時、現行の法令上、要求する根拠のない住民登録番号まで収集した末に流出させた事実が明らかになった。また、デュオとのサービス契約が終了して破棄の必要があった29万8566人の個人情報もそのまま保管しており、流出したことが調査で分かった。デュオは流出時点から5日が経過してようやく個人情報保護委員会に流出の事実を報告した。法律では72時間以内に報告するよう規定している。また、当時はオンラインホームページに流出の事実を公知しただけで、被害会員に個別には通知していなかったことも判明した。

個人情報保護委員会はデュオに対し、流出の事実を会員に即座に通知し、ホームページに処分内容を公表するよう命じた。あわせて、最小限の情報のみを収集するように体系を改善し、保有期間が過ぎた個人情報は遅滞なく破棄する管理基準を設けるよう要求した。デュオ側は「個人情報保護委員会の判断を尊重する。会員の個人情報が流出して申し訳ない」とし「現在まで流出による二次被害は確認されていない」と明らかにした。