- 크리덴셜 스터핑 공격으로 GS샵과 GS25 회원 정보 대량 탈취
- 보안 이상 징후 무시하고 대응 늦어 개인정보 유출 장기화 문제
- 개인정보 보호 조직 미흡·통지 지연 등으로 개인정보위 시정명령 조치
GS리테일이 운영하는 편의점 GS25와 홈쇼핑 GS SHOP 등에서 발생한 개인정보 유출 사고로 인해, 개인정보보호위원회는 128억3600만원의 과징금과 300만원의 과태료를 GS리테일에 부과했다. 이번 제재는 약 166만 명의 개인정보가 유출된 대규모 사고에 대한 것으로, 개인정보위는 지난 26일 전체회의에서 이 같은 처분과 함께 재발 방지 대책 마련, 개인정보 보호 전담 인력 배치, 정보보호책임자(CPO) 권한·책임 명확화 등 시정명령을 내렸다.
개인정보위 조사 결과, 해커는 2024년 6월부터 지난해 2월까지 GS SHOP과 GS25 홈페이지를 대상으로 크리덴셜 스터핑 공격을 감행해 서버 로그인을 성공적으로 시도했다. 이 과정에서 GS SHOP 회원 158만1025명, GS25 회원 7만9128명의 이름, 성별, 생년월일, 연락처, 집 주소, 이메일 등 개인정보가 탈취됐다. 크리덴셜 스터핑은 사전에 확보한 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 해킹 방식이다.
조사에 따르면 GS리테일은 동일한 IP에서 짧은 시간 내 대량의 로그인 시도가 이뤄졌음에도 이를 탐지하거나 차단할 수 있는 보안 대책을 마련하지 않았다. 로그인 시도 및 실패가 급증하는 등 이상 징후가 있었지만, 이를 인지하지 못해 개인정보 유출이 장기간 이어졌다. GS25에서 개인정보 유출 사실을 2024년 1월에 처음 인지했으나, GS SHOP에 대한 추가 공격은 한 달 뒤인 2월이 돼서야 파악됐다. 이 기간 동안에도 개인정보 유출은 계속됐다. GS25 공격에 사용된 IP 327개가 GS SHOP 공격에도 활용된 것으로 드러났다.
또한, 사고 당시 GS리테일은 개인정보 보호 전담 조직이 없었고, 보안 운영 체계가 이원화되는 등 구성과 운영이 미흡했다. 최초 유출 통지 이후 조사 과정에서 추가로 1599명의 피해자가 확인됐으나, 이들에게는 법정 기한인 72시간을 넘겨 유출 사실이 통지됐다. 개인정보위는 GS리테일에 처분 사실을 홈페이지에 공표하도록 명령하고, 비정상 접속 탐지 및 서비스 접속량·패턴 분석 등 구체적인 보안 정책 마련도 요구했다.
GS리테일 측은 개인정보 유출 사고에 대해 사과의 뜻을 밝히며, 사고 이후 보안 시스템과 관리체계를 전면 점검하고 정보보호 수준을 강화했다고 설명했다. 주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 대응 체계를 고도화했으며, 전사 차원의 개인정보 보호를 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지 노력을 이어가고 있다고 덧붙였다.
한편, 같은 날 개인정보위는 데이팅 앱 ‘위피’를 운영하는 엔라이즈에 대해서도 본인인증 시스템 취약점 방치와 과도한 접속 차단 미흡 등을 이유로 과징금 1억1844만원과 과태료 360만원을 부과했다. 해커는 2023년 3월 1만6803개의 휴대전화 번호로 로그인을 시도해 736개 계정의 닉네임, 성별, 프로필 사진, 생년월일, 학력, 직업 등 개인정보를 유출했다. SK텔레콤에는 위탁 운영한 메타버스 플랫폼 ‘이프랜드’ 관련 개인정보 유출 사고로 과태료 360만원과 시정명령이 내려졌고, 이벤트 웹사이트를 제작한 에이토즈에는 경고 처분이 내려졌다.
개인정보위는 “개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하고, 주기적으로 취약점을 점검하는 등 기본 원칙을 준수해야 한다”며, 유출 사고 발생 시 72시간 내 신속하게 신고·통지할 것을 강조했다.
댓글0