유전자 분석 기업 ‘23앤드미’, 대규모 개인정보 유출로 267억원 보상 작성일 07-20 41 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="0geLVNoMDO"> <p contents-hash="c4c6b0845364435da0339d05287f5332d50b8dad4d863e959db32a07c5224e30" dmcf-pid="padofjgRrs" dmcf-ptype="general">[보안뉴스 김형근 기자] 미국의 유명 유전자 분석 기업 ‘23앤드미’(23andMe)가 대규모 개인정보 유출 사고를 일으킨 책임을 지고 미 42개 주 법무장관들과 1800만 달러(약 267억 원)를 보상하기로 전격 합의했다.</p> <p contents-hash="158d02b15102713404ef92aecda1ee62899c0932ca803f95f5b81a2275fb9336" dmcf-pid="UlrCgvhDOm" dmcf-ptype="general">이번 보상 합의는 유전자 정보를 포함해 690만 명의 민감 데이터가 외부로 노출된 책임에 따른 결과다. 이번 합의 조건에 따라 23앤드미의 자산을 최종 인수한 ‘23앤드미 연구소’에 엄격한 데이터 보호 조치를 강제 적용한다.</p> <figure class="figure_frm origin_fig" contents-hash="c85ea85e0c17e3570555a09448ecf273c3ac82824870aac547f34ac4868246d0" dmcf-pid="uSmhaTlwrr" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/20/552815-KkymUii/20260720094759283fatp.jpg" data-org-width="800" dmcf-mid="3STHr1XSrI" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/20/552815-KkymUii/20260720094759283fatp.jpg" width="658"></p> </figure> <div contents-hash="8cd7fb1b7e120279893ce30c7b07d2b7261be028d8c17496bdc7a3fd892d8470" dmcf-pid="7vslNySrIw" dmcf-ptype="general"> <br>23앤드미를 인수한 이 비영리 연구소는 법인 형태만 바꾼 채 유전자 데이터의 소유권을 그대로 승계했으므로, 과거의 대규모 유출 사고에 따른 사법적 책임과 엄격한 보안 의무 역시 짊어져야 한다는 것이다. </div> <p contents-hash="07edae7bf7b9a54ff33f0e560f1d4f2a9bc15a643bba3054a99736a6937d09fa" dmcf-pid="zTOSjWvmrD" dmcf-ptype="general">이 연구소는 정기적인 사이버 보안 위험 평가를 수행하는 것은 물론, 개인정보를 안전하게 감시·감독할 특별 위원회를 사내에 반드시 설립해 가동해야 한다.</p> <p contents-hash="b22c23559eef6e01675a1d8ea7727b0330b53d43bc24eb54bb5dce8a2690f3cb" dmcf-pid="qyIvAYTsrE" dmcf-ptype="general">합의안은 기존의 23앤드미 고객들이 언제든 자신의 유전자 샘플을 완전히 폐기하고 개인정보를 무기한 삭제할 수 있는 강력한 데이터 주권을 보장하도록 명령했다.</p> <p contents-hash="bd7c0a5dfddbe075d8ca2cdd88db25a2cb921f925331b7ba5fb14370527f0601" dmcf-pid="BWCTcGyOIk" dmcf-ptype="general">23앤드미는 2023년 10월에 발생한 대규모 해킹 유출 사고를 몇 달 동안이나 인지하지 못했다. 도난당한 정보 일부가 다크웹에 무단 유통되는 심각한 사태를 빚었다.</p> <p contents-hash="d9084ac8bcb5cdacb1942b12c38a0ec820ea3cc2e18aa991b62487b6fd633faa" dmcf-pid="bYhykHWIEc" dmcf-ptype="general">경영진은 유출 사실을 공식 확인한 이후에도 자사의 보안 시스템 결함을 인정하기보다 소비자의 취약한 비밀번호 설정 방식을 문제 삼으며 책임을 전가해 비판을 받았다.</p> <p contents-hash="28919b35be0bfad9243200f6f14f5557cd161f94e886b3b83735866e3aaa1f5f" dmcf-pid="KGlWEXYCmA" dmcf-ptype="general">합동 조사에 나선 주 법무장관들은 이 회사가 도난된 자격 증명을 악용한 무단 침입 방어책을 세우지 않았고, 보안 로그 기록이나 비정상적인 로그인 패턴 감시를 완전히 소홀히 한 사실을 규명했다.</p> <p contents-hash="40f953e4e1cc21f9ed5d464c967e6d876819504ae0e62a07ad1be1a6e7dfe584" dmcf-pid="9U50S7pXDj" dmcf-ptype="general">사법적 압박과 경영난이 겹친 23앤드미는 결국 2025년 3월에 파산 보호 신청을 냈다. 같은 해 6월 미주리 파산법원은 유출 피해자 수백만 명을 위해 4700만 달러 규모의 보상 기금 조성을 별도로 승인했다.</p> <p contents-hash="e6902ebc79217ba9edca082ab2c6692296f65a0f9078a0f4f9e76f475ba2c88d" dmcf-pid="2u1pvzUZwN" dmcf-ptype="general">자산 매각 절차를 거쳐 고객 데이터를 확보한 연구소는 외부 기관에 영장 없이 정보를 무단 제공하지 않겠다는 프라이버시 정책을 승계했으나, 비식별화된 데이터를 바이오 연구용으로 판매하는 관행은 지속하기로 했다.</p> <p contents-hash="08bff839575e4069883ab1b47660d03df5b7e91c93dc49edf4ed75599d76146f" dmcf-pid="V7tUTqu5Ia" dmcf-ptype="general">자산 매각 절차를 거쳐 고객 데이터를 확보한 23앤미연구소는 외부 기관이 영장을 제시하지 않으면 정보를 넘기지 않겠다는 프라이버시 정책을 그대로 이어받았다. 이름이나 주소 등 개인을 알아볼 수 있는 흔적을 모두 지운 유전자 정보를 바이오 기업에 판매해 수익을 올리던 기존의 사업 관행은 앞으로도 계속 유지하기로 했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 아시아 주니어핸드볼, 일본 쿠웨이트에도 1골 차 역전패…8강 탈락 위기 07-20 다음 데브시스터즈, 부산 유네스코 세계위원회서 한국 세계유산 알린다 07-20 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
