23앤드미 합의 1.5억달러 중 실제 회수 1800만달러뿐

코네티컷주 검찰총장 윌리엄 통(William Tong)이 이끄는 42개 주 검찰총장 연합이 유전자 검사기업 23앤드미(23andMe)의 파산 관리인과 데이터 유출 관련 합의에 도달했다고 7월 14일(현지시각) 발표했다. 2023년 10월 공개된 이 유출 사고로 전 세계 23앤드미 이용자 약 690만 명의 개인정보가 노출됐다. 합의로 인정된 청구액은 1억5,000만 달러에 달하지만, 파산 자산 부족으로 실제 회수 가능한 금액은 1,800만 달러 수준에 그칠 전망이다. 코네티컷주는 약 88만7,729달러를, 유타주는 약 46만1,688달러를 각각 받게 된다. 이번 합의는 42개 주가 공동으로 23앤드미를 상대로 진행한 다주 조사의 결과물로, 회사의 보안 관리 부실이 유출 사고의 핵심 원인으로 지적됐다.

자격증명 스터핑과 마이헤리티지의 연결고리

23앤드미 유출은 “자격증명 스터핑(credential stuffing)” 공격으로 발생했다. 다른 웹사이트에서 새어나간 아이디·비밀번호를 대량으로 대입해 로그인을 시도하는 해킹 기법이다. 조사 결과 이번에 악용된 비밀번호 중 상당수는 과거 유전정보 서비스 마이헤리티지(MyHeritage.com) 유출 사고에서 흘러나온 것으로 확인됐다. 23앤드미와 마이헤리티지 두 서비스에 동일한 계정 정보를 쓴 이용자 수천 명의 자격증명이 겹쳐 있었다는 설명이다. 합의에 참여한 여러 주 검찰총장은 마이헤리티지와의 제휴 관계를 고려할 때 이번 유출이 “특히 심각했다”고 지적했다.

다주 조사에서는 23앤드미가 유출된 비밀번호 목록(블록리스트)과 대조하거나 다중 인증(MFA)을 요구하는 등 자격증명 스터핑 방어 조치를 하지 않았다는 점이 드러났다. 적절한 속도 제한이나 침입 방지 장치도 없었고, 로그인 이상 징후를 탐지할 로깅·모니터링 체계도 갖추지 못했다. 로그인 시도 건수가 급증하는 이상 패턴이 나타났음에도 제대로 조사하거나 대응하지 않았다는 점, 이미 알려진 보안 취약점을 방치했다는 점, 설계 단계에서 보안 기능을 충분히 검토·시험하지 않았다는 점도 문제로 지목됐다.

유타주 등의 발표에 따르면 유출 이후 “악의적 행위자”들이 이용자 데이터 목록을 판매용으로 게시했다. 아슈케나지 유대인과 중국계 이용자를 겨냥한 사례가 보고됐다. 이를 계기로 여러 주가 초당적으로 23앤드미가 주(州) 데이터 프라이버시법, 소비자보호법, 유전정보보호법을 위반했는지 조사에 착수했다.

파산으로 이어진 신뢰 붕괴

23앤드미는 2025년 3월(현지시각) 파산을 신청했다. 유출 사고의 후폭풍과 유전자 검사 키트 수요 부진이 겹친 결과였다. 2023년 발생한 이번 유출은 5개월에 걸쳐 진행됐고 거의 700만 명에 이르는 고객의 신원, 혈통, 유전자 프로필 등 민감한 정보가 새어나갔다. 회사는 이후 직원 200명을 감원하고 지난해 말 모든 치료제 개발을 중단했다.

파산 절차와 별도로 미국 소비자를 대상으로 한 4,675만 달러 규모의 집단소송 합의도 진행됐다. 이 소송은 2026년 2월 17일(현지시각)까지 청구서를 제출한 미국 소비자에게 구제금을 지급하는 내용으로, 다주 검찰총장 합의금과는 별개의 보상 경로다.

TTAM 리서치 인스티튜트 인수와 향후 관리 체계

23앤드미의 자산은 파산 절차를 거쳐 TTAM 리서치 인스티튜트(TTAM Research Institute)로 넘어갔다. 이 비영리기구는 23앤드미 창업자 앤 워지츠키(Anne Wojcicki)가 설립했다. 매각 조건으로 TTAM 리서치 인스티튜트(현재 23andMe Research Institute로 이름을 바꿈)는 한층 강화된 개인정보 보호 및 데이터 보안 조치를 시행하기로 약속했다. 통 검찰총장의 발표는 이 같은 후속 조치를 강조하며 이번 합의가 단순 배상을 넘어 향후 유전정보 관리 체계 개선을 담보하는 성격도 갖고 있다고 밝혔다.

주 검찰총장들의 경고

유타주 검찰총장 데릭 브라운(Derek Brown)은 “이번 합의는 민감한 유전 정보와 개인정보를 수집하는 기업이라면 최고 수준의 프라이버시와 보안 기준을 지켜야 한다는 분명한 메시지를 보낸다”고 말했다. 그는 “주민들을 개인정보 오남용으로부터 계속 보호하겠다”고 덧붙였다.

유타주 상무부 커미셔너 마거릿 부시(Margaret Busse)는 “23앤드미에 책임을 묻는 일은 기업이 소비자에게, 그리고 서비스 이용 과정에서 받은 개인정보를 보호해야 하는 책임이 있다는 것을 분명히 하는 데 중요하다”고 말했다. 이어 “23앤드미는 고객을 실망시켰다. 가장 민감하고 사적인 정보를 지키기 위한 조치를 충분히 하지 않았다. 이런 신뢰 위반은 용납할 수 없다”고 지적했다. 유타주 측은 합의로 확보한 자금을 소비자 보호 강화와 유출 사고 후속 대응에 사용하겠다고 밝혔다.