[보안뉴스 김형근 기자] 미국의 유명 유전자 분석 기업 ‘23앤드미’(23andMe)가 대규모 개인정보 유출 사고를 일으킨 책임을 지고 미 42개 주 법무장관들과 1800만 달러(약 267억 원)를 보상하기로 전격 합의했다.

이번 보상 합의는 유전자 정보를 포함해 690만 명의 민감 데이터가 외부로 노출된 책임에 따른 결과다. 이번 합의 조건에 따라 23앤드미의 자산을 최종 인수한 ‘23앤드미 연구소’에 엄격한 데이터 보호 조치를 강제 적용한다.



23앤드미를 인수한 이 비영리 연구소는 법인 형태만 바꾼 채 유전자 데이터의 소유권을 그대로 승계했으므로, 과거의 대규모 유출 사고에 따른 사법적 책임과 엄격한 보안 의무 역시 짊어져야 한다는 것이다.

이 연구소는 정기적인 사이버 보안 위험 평가를 수행하는 것은 물론, 개인정보를 안전하게 감시·감독할 특별 위원회를 사내에 반드시 설립해 가동해야 한다.

합의안은 기존의 23앤드미 고객들이 언제든 자신의 유전자 샘플을 완전히 폐기하고 개인정보를 무기한 삭제할 수 있는 강력한 데이터 주권을 보장하도록 명령했다.

23앤드미는 2023년 10월에 발생한 대규모 해킹 유출 사고를 몇 달 동안이나 인지하지 못했다. 도난당한 정보 일부가 다크웹에 무단 유통되는 심각한 사태를 빚었다.

경영진은 유출 사실을 공식 확인한 이후에도 자사의 보안 시스템 결함을 인정하기보다 소비자의 취약한 비밀번호 설정 방식을 문제 삼으며 책임을 전가해 비판을 받았다.

합동 조사에 나선 주 법무장관들은 이 회사가 도난된 자격 증명을 악용한 무단 침입 방어책을 세우지 않았고, 보안 로그 기록이나 비정상적인 로그인 패턴 감시를 완전히 소홀히 한 사실을 규명했다.

사법적 압박과 경영난이 겹친 23앤드미는 결국 2025년 3월에 파산 보호 신청을 냈다. 같은 해 6월 미주리 파산법원은 유출 피해자 수백만 명을 위해 4700만 달러 규모의 보상 기금 조성을 별도로 승인했다.

자산 매각 절차를 거쳐 고객 데이터를 확보한 연구소는 외부 기관에 영장 없이 정보를 무단 제공하지 않겠다는 프라이버시 정책을 승계했으나, 비식별화된 데이터를 바이오 연구용으로 판매하는 관행은 지속하기로 했다.

자산 매각 절차를 거쳐 고객 데이터를 확보한 23앤미연구소는 외부 기관이 영장을 제시하지 않으면 정보를 넘기지 않겠다는 프라이버시 정책을 그대로 이어받았다. 이름이나 주소 등 개인을 알아볼 수 있는 흔적을 모두 지운 유전자 정보를 바이오 기업에 판매해 수익을 올리던 기존의 사업 관행은 앞으로도 계속 유지하기로 했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>