23andMe 데이터 침해 집단소송, 4,675만 달러 합의 타결

브리프 | 사이버 보안 

23andMe 데이터 침해 집단소송, 4,675만 달러 합의 타결 출처: Claims Journal, 2026년 6월 15일

---

유전자 검사 기업 23andMe(현 Chrome Holding Co.)의 파산 계획 관리인이 2023년 발생한 데이터 침해 사건 피해자들에게 총 4,675만 달러를 지급하는 합의안에 동의하였습니다.

사건 경위

침해는 2023년 4월경 시작되어 약 5개월간 지속되었으며, 당시 23andMe 데이터베이스에 등록된 전체 고객 1,410만 명 중 절반 가량이 피해를 입었습니다. 해커는 고객 간 정보 공유 기능인 'DNA Relatives' 프로필 550만 건과 'Family Tree' 기능 이용 고객 140만 명의 정보에 접근한 것으로 확인되었습니다. 23andMe는 2023년 10월 자사 블로그를 통해 침해 사실을 공개하였으며, 이후 2025년 3월 파산 신청과 자산 매각을 거쳐 공동창업자 앤 워치키(Anne Wojcicki)에게 매각되었습니다.

합의 내용 및 보험 대응

미주리주 동부 연방파산법원 기록에 따르면, 파산 계획 관리인은 집단소송 합의 명목으로 3,250만 달러를 지급하기로 하였습니다. 이와 별도로 합의 관리인 Kroll에 이미 지급된 약 1,430만 달러 중 약 1,300만 달러는 사이버 보험(Cyber Insurance) 계약에서 지원된 것으로 법원 서류에 명시되었습니다. 보험사로는 Allied World Specialty Insurance, Tokio Marine HCC 산하 Houston Casualty Company, Berkshire Hathaway 산하 Landmark American Insurance Company, 그리고 Lloyd's 참여사들이 포함되어 있었습니다. 개별 지급액은 일반 청구의 경우 50달러부터, 특별 피해 청구의 경우 최대 1만 달러까지로 설정되었습니다.

잔여 과제 및 추가 소송

현재까지 255,860건 이상의 청구가 해결되었으나, 수천 건의 청구가 미해결 상태로 남아 있습니다. 법원은 원고 측이 요구한 4,800만 달러 전액 지급이 장기간의 고위험 소송을 초래할 수 있다고 판단하여 합의를 권고하였습니다. 한편 캘리포니아주는 2026년 5월 Chrome Holding Co.를 상대로 고객 개인정보 및 유전자 정보 보호 의무 위반을 이유로 별도 소송을 제기한 상태입니다.

리스크 관리 시사점

이번 사건은 유전자·바이오 정보라는 민감도가 극히 높은 개인정보(Sensitive Personal Information)의 유출이 대규모 집단소송과 천문학적 합의금으로 직결될 수 있음을 보여주는 핵심 사례입니다. 특히 합의금 중 약 1,300만 달러가 사이버 보험으로 충당된 점은, 사이버 보험(Cyber Liability Insurance)이 단순한 비용 절감 수단이 아니라 실질적인 리스크 이전(Risk Transfer) 장치로 기능함을 입증합니다. 한국 기업의 경우 개인정보보호법상 유전자·건강정보는 민감정보로 분류되어 별도의 동의 및 보호 의무가 부과되며, 헬스케어·바이오 분야 기업이 미국 시장에 진출하거나 미국 이용자 데이터를 취급할 경우 미국 HIPAA(의료정보보호법) 및 각 주(州) 소비자보호법 적용 가능성까지 감안한 사이버 보험 프로그램 설계가 필수적입니다. 또한 파산 이후에도 피해 청구가 지속된다는 점에서, 런오프(Run-off) 보장 및 테일 리스크(Tail Risk) 커버리지 확보 여부를 사전에 점검하시길 권고드립니다.