GS리테일 "개인정보 보호 전사적 경영과제, 재발 방지 최선"…128억 과징금

(서울=뉴스1) 유민주 나연준 기자 = GS리테일이 개인정보 유출 사고와 관련해 "고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다하겠다"고 31일 밝혔다.

GS리테일은 "이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다"고 밝혔다.

이어 주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 고도화했으며, 고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지 노력을 지속하고 있다고 설명했다.

앞서 개인정보보호위원회는 160만명 이상의 개인정보가 유출된 GS리테일에 128억3600만 원의 과징금과 300만 원의 과태료를 부과했다.

개인정보위는 이날 GS리테일이 운영하는 GS샵과 GS25 홈페이지에서 2024년 6월부터 2025년 2월까지 크리덴셜 스터핑 공격이 발생해 GS샵 158만1025명, GS25 7만9128명의 개인정보가 유출된 것으로 조사했다.

크리덴셜 스터핑은 다른 곳에서 유출된 아이디·비밀번호 조합을 여러 온라인 서비스에 대입해 로그인하는 공격 방식이다. 개인정보위는 GS리테일이 대규모 로그인 시도를 탐지·차단할 수 있는 조치를 마련하지 않았고, 이상 징후도 제때 인지하지 못해 유출이 장기간 이어졌다고 지적했다.

특히 GS리테일은 GS25에서 유출 사고를 처음 인지한 이후에도 GS샵에서 같은 공격이 진행되고 있다는 사실을 한 달여 뒤에 파악해 추가 유출이 발생했다. 개인정보 전담조직 부재 등 관리체계도 미흡했으며, 유출 대상자 1599명에 대해서는 정당한 사유 없이 72시간을 넘겨 유출 사실을 통지한 것으로 확인됐다.

개인정보위는 GS리테일에 재발방지 대책 수립·시행과 개인정보 보호 전담인력 배치, 개인정보보호책임자(CPO)의 권한·책임 명확화 등 거버넌스 체계 개선도 시정명령했다.

youmj@news1.kr