애슐리 매디슨
더 많은 작업
애슐리 매디슨(Ashley Madison)은 캐나다 토론토에 본사를 둔 온라인 데이팅 서비스다. 기혼자나 연인이 있는 사람의 외도 상대 찾기를 내세워 "인생은 짧습니다. 바람 피우세요"(Life is short. Have an affair.)라는 문구로 알려졌다.[1]
운영사는 아비드 라이프 미디어(Avid Life Media, ALM)였고 2016년 루비 코프(Ruby Corp.)로 이름을 바꿨다. 2015년 7월 '임팩트 팀'(The Impact Team)이라는 해커 집단이 회원 3천만여 명의 개인정보와 결제 기록, 회사 내부 이메일을 빼내 공개한 사건으로 세계적인 주목을 받았다. 이 사건으로 돈을 받고 지워 준다던 회원 정보가 실제로는 남아 있었고, 여성 회원 상당수가 회사가 만든 가짜 계정과 자동 대화 프로그램이었다는 사실이 드러났다. 미국 연방거래위원회(FTC)와 캐나다·오스트레일리아 개인정보 감독기구가 조사에 나섰는데, 연방거래위원회 위원장은 이 사건을 "지금까지 조사한 가장 큰 데이터 유출 사고 가운데 하나"라고 했다.[2] 2026년에는 외도 대신 '사생활을 지키는 데이팅'으로 브랜드를 바꿨다.
| 항목 | 내용 |
|---|---|
| 종류 | 온라인 데이팅, 소셜 네트워크 서비스 |
| 창업자 | 대런 모건스턴(Darren Morgenstern) |
| 운영사 | 아비드 라이프 미디어 → 루비 코프(2016년 개명). 운영 법인은 루비 라이프(Ruby Life Inc.)[3] |
| 본사 | 캐나다 온타리오주 토론토 |
| 회원 수 | 3,700만 명(2015년, 회사 발표), 6천만 명(2019년, 회사 발표) |
| 수익 모델 | 크레딧(선불 이용권) 판매, 유료 계정 삭제(2015년까지) |
| 구호 | "Life is short. Have an affair."(2016년 "Find your moment", 2017년 원래 구호로 복귀, 2026년 "Where Desire Meets Discretion") |
| 웹사이트 | ashleymadison.com |
애슐리 매디슨은 대런 모건스턴이 2001년 세워 2002년 서비스를 시작했다. 이름은 당시 북미에서 흔하던 여자 이름 '애슐리'와 '매디슨'을 합친 것이다.[4] 운영사 아비드 라이프 미디어는 같은 토론토 회사로, 연상 여성과 연하 남성을 잇는 '쿠거 라이프'(Cougar Life), 부유한 남성과 젊은 여성을 잇는 '이스태블리시드 멘'(Established Men) 같은 사이트도 운영했다.[1]
아비드 라이프 미디어 최고경영자 노엘 비더먼은 토크쇼에 자주 나와 "사이트는 플랫폼일 뿐이고 광고 하나로 바람을 피우게 되지는 않는다"며 서비스를 옹호했다. 회사는 논란을 일부러 일으켜 공짜 홍보 효과를 노리는 광고로 유명했다. 2009년 NBC는 슈퍼볼 중계 광고를 거절했고,[5] 같은 해 토론토 교통공사(TTC)도 20만 캐나다달러어치 노면전차 광고를 거부했다.[6] 2010년에는 피닉스 스카이하버 국제공항 이름을 사겠다며 1천만 달러를 제안했다가 거절당했고,[7] 2014년에는 오스트레일리아 럭비 리그 팀 크로널라 샤크스에 1,100만 달러 후원을 제안했다.[8] 오스트레일리아 광고심의위원회는 2015년 이 회사의 텔레비전 광고가 아내들을 깎아내린다며 방송 중단을 결정했다.[9]
2015년 7월 해킹 사건이 터졌고(아래 절 참고), 비더먼은 8월 28일 최고경영자에서 물러났다.[12] 2016년 4월 롭 시걸이 최고경영자, 제임스 밀러십이 사장으로 들어왔고, 7월 회사 이름을 루비 코프로 바꾸면서[13] 구호도 "당신의 순간을 찾으세요"(Find your moment)로 순화했다. 새 경영진은 여성으로 위장한 자동 대화 프로그램(봇)은 더 이상 쓰지 않는다고 밝혔다.[14] 2017년 5월 원래 구호 "Life is short. Have an affair."로 돌아갔다.[15] 2019년 2월 회사는 회원이 6천만 명이라고 발표했다.[16]
해킹 사건은 2023년 훌루 다큐멘터리 《The Ashley Madison Affair》[17]와 2024년 5월 넷플릭스 다큐멘터리 《Ashley Madison: Sex, Lies & Scandal》로 다시 조명되었다.[18]
2026년 2월 애슐리 매디슨은 '기혼자 데이팅'에서 벗어나 사생활을 중시하는 데이팅 앱으로 브랜드를 바꾸고 새 구호 "욕망과 신중함이 만나는 곳"(Where Desire Meets Discretion)을 내놓았다. 회사는 2025년 신규 가입자의 57%가 스스로를 미혼이라고 밝혔다며 이용자층이 이미 바뀌었다고 설명했다.[19]
매치닷컴이나 이하모니 같은 월 구독형 데이팅 서비스와 달리 애슐리 매디슨은 크레딧(선불 이용권)을 사서 쓰는 방식이다. 두 회원이 처음 대화를 시작하려면 한쪽, 사실상 언제나 남성이 크레딧을 내야 하고, 대화가 시작된 뒤의 메시지는 무료다. 실시간 채팅은 크레딧으로 시간을 사서 쓴다. 가입과 프로필 숨기기는 무료였다.
회사는 가장 비싼 상품을 사면 원하는 상대를 찾지 못할 경우 돈을 돌려준다는 '보장' 상품도 팔았다. 그러나 환불을 받으려면 석 달 동안 매달 서로 다른 회원 18명에게 비싼 우선 메시지를 보내고, 선물 5개를 보내고, 유료 채팅을 60분씩 해야 하는 등 조건이 까다로웠다. 이 상품은 2016년 7월 폐지되었다.[22]
| 날짜 | 내용 |
|---|---|
| 2015년 7월 | 임팩트 팀이 아비드 라이프 미디어의 회원 데이터베이스, 재무 기록, 내부 자료를 빼냈다고 발표. 애슐리 매디슨과 이스태블리시드 멘을 즉시 영구 폐쇄하지 않으면 회원 실명, 주소, 성적 취향, 결제 기록을 공개하겠다고 협박. 유료 삭제가 "완전한 거짓말"이며 2014년 170만 달러를 벌었다고 폭로[1] |
| 7월 20일 | 회사가 침입 경로를 막았다고 발표하고 계정 삭제 수수료를 면제 |
| 7월 21일 무렵 | 회원 2,500여 명의 기록이 먼저 공개됨. 고객센터는 부인했지만 비더먼은 "일어난 일을 부인하지 않는다. 이것은 범죄 행위"라고 말함[25] |
| 8월 18일 | 9.7GB 압축 파일을 토르(Tor) .onion 주소로 공개. 약 3,200만 명의 계정 정보와 7년치 신용카드 결제 기록 포함[26] |
| 8월 20~21일 | 소스 코드와 비더먼 이메일을 담은 약 20GB 2차 파일 공개. 이메일 파일(약 13GB)이 손상되어 21일 19GB짜리 3차 파일로 다시 올림[27] |
| 8월 22일 | 캐나다 로펌 두 곳이 7억 6천만 캐나다달러(약 5억 7,600만 미국달러) 규모 집단소송 제기[28] |
| 8월 24일 | 토론토 경찰이 확인되지 않은 자살 2건과 관련 증오 범죄 신고를 발표. 아비드 라이프 미디어는 해커 검거 정보에 50만 캐나다달러 현상금[29] |
| 8월 28일 | 비더먼 최고경영자 사임[12] |
| 2016년 8월 22일 | 캐나다·오스트레일리아 개인정보 감독기구 공동 조사 결과 발표 |
| 2016년 12월 14일 | 미국 연방거래위원회와 13개 주, 워싱턴 D.C.와 합의 |
| 2017년 7월 | 미국 집단소송 1,120만 달러에 합의 |
유출 자료에는 3,700만 개 계정의 이름, 주소, 전화번호, 생년월일, 결혼 여부, 원하는 상대 조건, 음주·흡연 여부 같은 프로필 정보가 들어 있었다.[30] 보안 전문가들은 공개된 데이터베이스가 진짜라고 확인했다.[31] 아비드 라이프 미디어는 해커들이 '핵티비스트'가 아니라 범죄자라고 반박했다.[26]
유료 삭제를 한 회원의 기록도 그대로 나왔다. 가디언 분석에 따르면 완전 삭제한 계정은 실명, 사용자 이름, 이메일, 프로필 문장은 지워졌지만 생년월일, 도시, 우편번호, 성별, 인종, 키, 몸무게, 체형, 흡연·음주 여부가 남아 있어 신원을 특정할 수 있었다.[32]
회원 비밀번호는 계산이 매우 느린 해시 알고리즘인 bcrypt로 저장되어 있어, 처음에는 3,600만 개를 모두 푸는 데 수백 년이 걸릴 것으로 보였다. 그러나 비밀번호 해독 동호인 집단 '사이노슈어 프라임'(CynoSure Prime)은 함께 유출된 소스 코드를 살펴, 개발자들이 '$loginkey'라는 로그인 토큰을 만들면서 비밀번호를 MD5로도 처리해 둔 탓에 1,526만 개 계정은 훨씬 빠르게 풀 수 있다는 것을 찾아냈다. 이 약점을 이용해 열흘 만에 1,127만 개가 넘는 비밀번호를 풀어냈다.[33] 강한 알고리즘을 써도 다른 경로에 약한 해시를 남기면 소용없다는 사례로 자주 인용된다.
기즈모도 편집장 애널리 뉴위츠는 2015년 8월 27일 등록된 여성 계정 550만 개 가운데 실제로 활동한 것으로 보이는 계정은 최대 1만 2천 개 정도이고, 나머지는 만든 직후 버려진 것처럼 보인다고 분석했다.[34] 그러나 나흘 뒤 후속 기사에서 이 수치는 증거를 잘못 이해한 결과라고 정정했다. 대신 소스 코드에서 회사가 여성으로 위장한 봇 7만여 개를 만들어 남성 회원에게 가짜 메시지 수백만 건을 보낸 사실을 확인했다. 남성 회원 3,100만 명 가운데 2천만 명이 봇 메시지를 받았고, 약 1,100만 명은 '인게이저'(engager)라는 자동 채팅 프로그램과 대화했다. 뉴위츠는 봇이 남성에게 크레딧을 내고 대화를 이어 가라고 재촉했을 것으로 보았다. 다만 유출 자료에는 사람과 사람 사이의 대화 기록이 없어 실제 여성 이용자가 몇 명인지는 알 수 없다고 했다.[35]
- 협박: 유출 직후 명단에 있는 사람들에게 배우자에게 알리겠다며 비트코인을 요구하는 협박 메일이 돌았다.[36] 동료나 배우자의 이메일을 넣으면 명단 포함 여부를 알려 주고, 명단에 있으면 그 사람에게 돈을 요구하는 업체까지 생겼다.
- 공직자: 미국 군(.mil)과 정부(.gov) 이메일 주소 수천 개가 명단에서 나와 국방부가 조사에 나섰고,[37] 간통을 사형까지 처할 수 있는 사우디아라비아의 .sa 주소도 1,200개가 나왔다.[38]
- 유명인: 미국 리얼리티 프로그램 출연자 조시 더거는 자신 명의의 신용카드로 결제한 기록이 드러나자 "가장 위선적인 사람이었다"며 외도를 인정했다.[39]
- 자살: 토론토 경찰은 확인되지 않은 자살 2건을 언급했고,[29] 미국 뉴올리언스 침례교 신학교의 목사 겸 교수가 명단 공개 엿새 뒤 극단적 선택을 했다는 보도가 나왔다.[40]
- 언론 윤리: 언론이 유출 명단 속 개인의 이름을 보도해도 되는지를 두고 논쟁이 벌어졌고, 공개 망신 문화가 배우자와 자녀에게 더 큰 상처를 준다는 지적이 나왔다.
2016년 8월 22일 캐나다 연방 개인정보보호위원회(OPC)와 오스트레일리아 정보위원회(OAIC)는 공동 조사 보고서를 냈다. 주요 내용은 다음과 같다.[41]
| 항목 | 지적 내용 |
|---|---|
| 침입 경로 | 직원의 정상 계정 자격 증명이 탈취되어 처음 침입에 쓰인 것으로 추정 |
| 원격 접속 | 가상 사설망(VPN) 접속이 단일 인증 요소에만 의존. 사고 뒤 이중 인증 도입 |
| 키·비밀번호 관리 | VPN 공유 비밀값이 회사 구글 드라이브에 보관됨, 평문 비밀번호와 암호화 키 저장, 비밀번호 없는 SSH 키 |
| 보안 체계 | 문서화된 정보보안 정책과 위험관리 체계가 없었고, 보안 교육을 받은 직원은 약 25% |
| 신뢰 표시 | 첫 화면의 '신뢰받는 보안 상' 메달, 'SSL 보안' 자물쇠, '100% 비밀 보장' 문구가 높은 보안 수준을 암시 |
| 보존 기간 | 탈퇴·휴면 계정 정보를 기한 없이 보관. 유료 삭제 뒤에도 12개월 보관(6개월로 단축), 삭제 계정의 사진이 실수로 남음 |
| 이메일 검증 | 이메일 주소를 확인하지 않아 회원이 아닌 사람이 사이트와 엮여 평판 피해를 입을 수 있음 |
| 피해 통지 | 캐나다 103만 명, 오스트레일리아 67만 명에게 통지 |
캐나다는 준수 협약(Compliance Agreement), 오스트레일리아는 강제 이행 약정(Enforceable Undertaking)을 받아들였고, 회사는 2017년 7월까지 보안 체계를 갖추고 독립 제3자 평가를 받기로 했다.[41]
2016년 12월 14일 미국 연방거래위원회는 회사가 3,600만 명의 정보를 제대로 보호하지 못하고 소비자를 속였다며 13개 주, 워싱턴 D.C.와 함께 합의했다. 연방거래위원회는 회사가 2014년 8월까지 가짜 여성 프로필('인게이저 프로필')로 미국인 약 1,900만 명을 유료 회원으로 끌어들였고, 받은 적 없는 '신뢰받는 보안 상'(Trusted Security Award)을 받았다고 내세웠으며, 19달러를 받고도 정보를 지우지 않았다고 지적했다. 서면 보안 정책, 접근 통제, 직원 교육, 외부 업체 점검, 시스템 감시가 모두 없었고, 침입자는 2014년 11월부터 2015년 6월까지 들키지 않고 여러 차례 내부망에 드나들었다. 판결 금액은 875만 달러였지만 회사의 지급 능력을 고려해 연방거래위원회에 82만 8,500달러, 주 정부들에 82만 8,500달러, 합계 약 160만 달러를 내는 조건으로 나머지를 유예했다. 회사는 포괄적인 정보보안 프로그램을 만들고 제3자 평가를 받아야 한다.[2]
| 기관·소송 | 결과 |
|---|---|
| 미국 연방거래위원회·13개 주·워싱턴 D.C. | 875만 달러 판결 중 약 160만 달러 납부, 보안 프로그램과 제3자 평가 의무[2] |
| 캐나다 개인정보보호위원회 | 준수 협약[41] |
| 오스트레일리아 정보위원회 | 강제 이행 약정[41] |
| 미국 집단소송(약 3,700만 명) | 2017년 7월 1,120만 달러 합의. 회사는 잘못을 인정하지 않음[42][43] |
- 멘, 우먼 & 칠드런: 2014년 제이슨 라이트맨 감독 영화로, 성생활에 불만을 품은 주부 헬렌 트루비(로즈메리 드윗)가 애슐리 매디슨으로 외도 상대를 만나고, 남편 돈(애덤 샌들러)이 우연히 아내의 계정을 보고 약속 장소에 나타난다. 영화가 공개된 이듬해 실제 해킹 사건이 터졌다.
- ↑ 1.0 1.1 1.2 Online Cheating Site AshleyMadison Hacked, 크렙스 온 시큐리티, 2015-07-19.
- ↑ 2.0 2.1 2.2 Operators of AshleyMadison.com Settle FTC, State Charges Resulting From 2015 Data Breach that Exposed 36 Million Users' Profile Information, 미국 연방거래위원회, 2016-12-14.
- ↑ Ruby Corp and Plaintiffs Reach Proposed Settlement of Class Action Lawsuit Regarding Ashley Madison Data Breach, 루비 라이프(PR 뉴스와이어), 2017-07-14.
- ↑ Ashley Madison's secret success, 로스앤젤레스 타임스, 2009-01-10.
- ↑ Banned! These ads are too racy for the Super Bowl, 뉴욕 데일리 뉴스, 2009-01-29.
- ↑ TTC dumps Ashley Madison, 토론토 선, 2009-12-11.
- ↑ Phoenix rejects $10M offer from infidelity Web site, 애리조나 리퍼블릭, 2010-02-22.
- ↑ Ashley Madison offer Cronulla Sharks $11 million sponsorship deal, 시드니 모닝 헤럴드, 2014-02-01.
- ↑ Here's the cringe-worthy ad for affair site Ashley Madison that was pulled for vilifying women, 비즈니스 인사이더 오스트레일리아, 2015-03-06.
- ↑ Business of ruining marriages, 마이 페이퍼, 2013-10-23.
- ↑ 기혼자 연애 사이트 '애슐리 매디슨' 다시 문 열어, 경향신문, 2015-03-10.
- ↑ 12.0 12.1 Ashley Madison CEO Noel Biderman resigns after third leak of emails, 가디언, 2015-08-28.
- ↑ Ashley Madison Parent Rebrands Itself as Ruby Corp., 월스트리트 저널, 2016-07-12.
- ↑ Ashley Madison pitches relaunch under new management, new strategy, CBC 뉴스, 2016-07.
- ↑ Ashley Madison is back and claims surprising user numbers, 뉴욕 포스트, 2017-05-21.
- ↑ Ashley Madison now has 60 million users. Two men told us why they use it., 인사이더, 2019-04.
- ↑ The Ashley Madison Affair: Doc on sleazy infidelity website stays faithful to the facts, 시카고 선타임스, 2023-07-06.
- ↑ Inside the rise and fall of Ashley Madison: People literally lost their lives, 가디언, 2024-05-14.
- ↑ Ashley Madison, the infamous affair-enabling website, rebranding after years of scandal, 인디펜던트, 2026-02-25.
- ↑ Some Dude Created an Ashley Madison Account Linked to My Gmail, and All I Got Was This Lousy Extortion Screen, 디 인터셉트, 2015-07-21.
- ↑ Ashley Madison's $19 full delete option made the company millions, 더 버지, 2015-08-19.
- ↑ Infidelity website Ashley Madison facing FTC probe, CEO apologizes, 로이터, 2016-07-05.
- ↑ Woman hurt typing fake profiles for dating site, $20M suit alleges, 시티뉴스 토론토, 2013-11-10.
- ↑ Lawsuit against dating site for married people seeking affairs dismissed, 글로브 앤드 메일, 2015-01-18.
- ↑ Ashley Madison customer service in meltdown as site battles hack fallout, 가디언, 2015-07-21.
- ↑ 26.0 26.1 Hackers Finally Post Stolen Ashley Madison Data, 와이어드, 2015-08-18.
- ↑ Hackers Just Posted a Third Dump of Alleged Ashley Madison Data, 마더보드, 2015-08-21.
- ↑ Ashley Madison faces huge class-action lawsuit, BBC 뉴스, 2015-08-23.
- ↑ 29.0 29.1 Ashley Madison hack: 2 unconfirmed suicides linked to breach, Toronto police say, CBC 뉴스, 2015-08-24.
- ↑ Ashley Madison's members by the numbers, CBC 뉴스, 2015-08.
- ↑ Ashley Madison condemns attack as experts say hacked database is real, 가디언, 2015-08-19.
- ↑ Ashley Madison database suggests paid-delete option left identifiable data intact, 가디언, 2015-08-19.
- ↑ Once seen as bulletproof, 11 million+ Ashley Madison passwords already cracked, 아스 테크니카, 2015-09-10.
- ↑ The Fembots of Ashley Madison, 기즈모도, 2015-08-27.
- ↑ Ashley Madison Code Shows More Women, and More Bots, 기즈모도, 2015-08-31.
- ↑ Extortionists Target Ashley Madison Users, 크렙스 온 시큐리티, 2015-08-21.
- ↑ Thousands of .mil addresses potentially leaked in Ashley Madison hack, 워싱턴 포스트, 2015-08-19.
- ↑ The global fallout of the Ashley Madison hack, 프랑스24, 2015-08-20.
- ↑ Josh Duggar after Ashley Madison hack: I have been the biggest hypocrite ever, CNN, 2015-08-20.
- ↑ Pastor outed on Ashley Madison commits suicide, CNN 머니, 2015-09-08.
- ↑ 41.0 41.1 41.2 41.3 PIPEDA Report of Findings #2016-005: Joint investigation of Ashley Madison, 캐나다 개인정보보호위원회, 2016-08-22.
- ↑ Ashley Madison parent in $11.2 million settlement over data breach, CNBC(로이터), 2017-07-15.
- ↑ Lawyers score big in settlement for Ashley Madison cheating site data breach, 아스 테크니카, 2017-07-17.