23andMe 유전정보 유출 합의…현금 회수액 1,800만달러

미국 텍사스주와 뉴욕주 검찰총장실 공식 발표에 따르면 주정부 연합은 23andMe의 2023년 유전정보 유출 사고와 관련해 파산 절차에서 1억5,000만달러의 청구를 인정받고, 현금 1,800만달러를 지급받기로 합의했다. 사고 영향 범위는 전 세계 고객 690만명이다.

파산법원에 제출된 합의문은 주정부 측 허용 청구액을 1억5,000만달러로 정하면서도 실제 현금 회수액은 1,800만달러로 명시했다. 이 금액이 모두 지급되면 관련 청구는 전부 변제된 것으로 처리된다. 파산관리 신탁은 법원 승인 뒤 10영업일 안에 각 참여 기관에 배분하도록 돼 있다.

따라서 이번 합의의 1억5,000만달러는 실제 지급액이 아니라 파산 절차에서 인정된 청구액이다. 제한된 파산재단 재원 때문에 현금으로 회수되는 금액은 1,800만달러다. 뉴욕주에는 약 70만5,000달러, 텍사스주에는 약 126만7,000달러가 배정됐다.

23andMe는 2023년 10월 고객 690만명의 정보가 영향을 받은 침해 사고를 확인했다. 노출 정보에는 일부 고객의 유전적 조상 정보가 포함됐으며, 유출 자료 일부는 다크웹에서 판매 대상으로 게시됐다. 주정부 조사 결과는 유출된 비밀번호 대조, 다중요소인증, 요청 속도 제한, 침입 탐지, 비정상 로그인 감시와 알려진 취약점 조치가 충분하지 않았다고 지적했다.

회사는 2025년 3월 미국 파산법 11장에 따른 보호를 신청했다. 이후 고객 데이터는 창업자이자 전 최고경영자가 설립한 비영리 조직 TTAM Research로 넘어갔고, 이 조직은 현재 23andMe Research Institute라는 이름을 사용한다. 주정부 연합은 새 운영 주체에 위험 분석과 데이터 보안 자문위원회 설치, 소비자의 정보 삭제 권리 유지 등 보호 조치를 요구했다.

합의문은 파산 청산 법인이 5년 동안 소비자 대상 상품·서비스를 직접 판매하거나 의무적으로 보관해야 하는 범위를 넘어 개인식별정보를 수집·유지하지 못하도록 했다. 다만 캘리포니아주의 청구는 이번 합의에서 제외됐고, 23andMe Research Institute에 대한 규제 책임도 면제 대상에 포함되지 않았다.

이번 합의는 기업이 파산한 뒤에도 유전정보와 같은 민감정보의 보호 의무가 사라지지 않는다는 점을 보여준다. 동시에 합의 명목액과 실제 회수액 사이의 차이가 큰 만큼, 개인정보 침해 제재의 실효성과 소비자 구제 범위는 후속 집행과 별도 소송을 통해 확인해야 한다.

출처: 미국 텍사스주 검찰총장실 https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-secures-150-million-settlement-against-23andme-over-data-breach-exposed
미국 파산법원 공동 합의문 https://www.texasattorneygeneral.gov/sites/default/files/images/press/Stipulation.pdf
미국 뉴욕주 검찰총장실 https://ag.ny.gov/press-release/2026/attorney-general-james-secures-18-million-23andme-failing-protect-customers