[뉴스토마토 전연주 기자] 개인정보보호위원회(개보위)가 약 166만명의 개인정보가 유출된 GS리테일에 128억원대 과징금을 부과했습니다. 대규모 로그인 시도와 실패가 급증했는데도 이를 제대로 탐지·차단하지 못했고, 개인정보 유출 사실을 인지한 이후에도 동일한 방식의 공격에 제대로 대응하지 못한 데 대한 조치입니다.
개보위는 지난 26일 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 시정명령을 내렸다고 31일 밝혔습니다.
송경희 개인정보보호위원회 위원장이 지난 26일 정부서울청사에서 개최된 제17회 전체회의에서 의사봉을 두드리고 있다. (사진=개보위)
개보위 조사 결과 신원을 알 수 없는 해커는 사전에 확보한 아이디와 비밀번호를 무차별 대입하는 '크리덴셜 스터핑' 방식으로 GS SHOP과 GS25 홈페이지를 공격했습니다. 공격은 GS SHOP에서 2024년 6월21일부터 지난해 2월13일까지, GS25에서는 2024년 12월26일부터 지난해 1월4일까지 이어졌습니다.
이 과정에서 GS SHOP 이용자 158만1025명과 GS25 이용자 7만9128명의 개인정보가 유출됐습니다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐습니다.
개보위는 GS리테일이 짧은 시간 동안 동일한 인터넷주소(IP)에서 대규모 로그인 시도가 발생해도 이를 탐지하거나 차단할 수 있는 대책을 마련하지 않았다고 판단했습니다. 로그인 시도와 실패 횟수가 급증하는 이상 징후가 나타났지만 이를 인지하지 못해 유출이 장기간 지속됐습니다.
사고를 인지한 이후 대응도 미흡했습니다. GS리테일은 지난해 1월4일 GS25에서 발생한 유출을 처음 확인했지만 GS SHOP에서도 동일한 공격이 발생하고 있다는 사실은 한 달여 뒤인 2월에야 추가로 파악했습니다. GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 사용됐으며, 이에 따라 최초 사고 인지 이후인 2월13일까지 추가 유출이 이어졌습니다.
개보위는 개인정보 보호 조직의 구성과 운영에도 문제가 있었다고 봤습니다. 사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었습니다. 최초 유출 통지 이후 조사 과정에서 추가로 확인된 유출 대상자 1599명에 대해서는 정당한 사유 없이 법정 기한인 72시간을 넘겨 통지한 사실도 확인됐습니다.
이에 개보위는 GS리테일에 처분 사실을 홈페이지에 공표하도록 명령했습니다. 아울러 서비스 접속량과 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 마련하고, 개인정보 보호 전담인력을 배치하는 한편 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 보호체계 전반을 개선하도록 시정명령했습니다.
개보위는 이날 GS리테일 외에도 개인정보 보호 법규를 위반한 엔라이즈와 SK텔레콤, 에이토즈에 제재를 내렸습니다. 엔라이즈에는 과징금 1억1844만원과 과태료 360만원, SK텔레콤에는 과태료 360만원과 시정명령을 내렸으며 에이토즈에는 경고 처분했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지