'160만 건' 개인정보 유출된 GS리테일, 과징금 128억

(서울=뉴스1) 나연준 기자 = 개인정보보호위원회가 160만 명 이상의 개인정보가 유출된 GS리테일에 약 128억 원의 과징금을 부과했다.

개인정보위는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 대해 128억 3600만 원의 과징금, 300만 원의 과태료를 부과하고 사업자 홈페이지에 결과를 공표할 것을 의결했다고 31일 밝혔다.

또한 개인정보위는 유사 사고 재발을 막기 위해 재발방지 대책을 수립·시행하고, 신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 CPO의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령했다.

신원 미상의 해커는 GS리테일이 운영하는 GS 숍(홈쇼핑) 홈페이지에 대해 2024년 6월 21일부터 2025년 2월 13일까지, GS25(편의점) 홈페이지에 대해 2024년 12월 26일부터 2025년 1월 4일까지 크리덴셜 스터핑'(Credential Stuffing) 공격을 시도해 로그인에 성공했다. 이후 회원정보 수정 페이지에 접속해 GS 숍에서 158만 1025명, GS25에서 7만 9128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출했다.

크리덴셜 스터핑은 공격자가 이미 어딘가에서 유출된 아이디(ID)·비밀번호(PW) 조합을 다른 온라인 서비스에 무작위로 대입해 로그인에 성공하는 공격 방식이다. 서버를 직접 해킹하지 않아도, 이용자가 여러 사이트에서 같은 계정 정보를 재사용한다는 습관을 악용해 침투하는 수법이다.

개인정보위는 GS리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생했음에도 이를 인지하지 못해 장기간 유출이 발생했다고 지적했다.

또한 GS리테일은 GS25 홈페이지에서의 유출을 2025년 1월 4일 최초 인지했으나, 유출사고 대응에 소홀했다. 이에 GS 숍 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 2025년 2월이 되어서야 추가 인지해 최초 유출 인지 이후에도 개인정보가 지속적으로 유출(2025년 1월 4일부터 2월 13일)됐다.

아울러 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡했고, 최초 유출통지 이후 조사과정에서 유출 대상자 1599명이 추가 확인됐으나, 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다.

개인정보위는 이외에도 개인정보가 유출된 엔라이즈에도 과징금 1억 1844만원, 과태료 360만 원을 부과했다. 해커는 엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용해 736개 계정의 개인정보(닉네임, 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등)를 유출했다.

또한 SK텔레콤으로부터 '이프랜드' 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영한 과정에서 접근통제 조치를 하지 않은 에이토즈에는 경고를, 1140명의 개인정보(이름, 휴대전화번호)가 유출된 사실을 24시간을 경과해 유출통지·신고한 SK텔레콤에는 과태료 360만 원과 시정명령을 의결했다.

yjra@news1.kr