[더팩트 | 공미나 기자] GS리테일이 GS샵과 GS25 이용자 약 166만명의 개인정보 유출 사고와 관련해 128억원대 과징금을 부과받았다.
개인정보보호위원회는 지난 26일 전체회의를 열고 개인정보 보호법을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다.
개인정보위 조사에 따르면 해커는 다른 경로에서 확보한 아이디와 비밀번호를 여러 서비스에 대입하는 ‘크리덴셜 스터핑’ 방식으로 GS샵과 GS25 홈페이지를 공격했다.
GS샵은 2024년 6월21일부터 2025년 2월13일까지 약 8개월 동안 공격을 받았고, GS25에서는 2024년 12월26일부터 2025년 1월4일까지 공격이 이어졌다.
공격자는 로그인에 성공한 뒤 회원정보 수정 페이지에 접근해 개인정보를 빼낸 것으로 조사됐다. 유출된 이용자는 GS샵 158만1025명, GS25 7만9128명으로 단순 합산하면 166만153명이다. 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 유출 정보에 포함됐다.
개인정보위는 GS리테일의 이상접속 탐지와 차단 조치가 충분하지 않았다고 판단했다. 같은 IP에서 짧은 시간에 대량의 로그인 시도가 이뤄지고 로그인 실패 건수가 급증했지만 이를 적시에 파악하지 못했다는 것이다.
초기 사고 이후 대응 과정에서도 문제가 드러났다. GS리테일은 2025년 1월4일 GS25의 개인정보 유출 사실을 확인했지만, GS샵에서도 같은 유형의 공격이 진행되고 있다는 사실은 약 한 달 뒤 파악했다.
특히 GS25 공격에 활용된 IP 중 327개가 GS샵 공격에도 사용된 것으로 확인됐다. 이에 따라 GS25 사고를 인지한 이후에도 같은 해 2월13일까지 GS샵에서 개인정보 유출이 이어졌다.
개인정보 보호 조직 운영에서도 문제가 확인됐다. 사고 당시 개인정보 전담조직이 별도로 마련돼 있지 않았고 보안 운영 역시 이원화돼 있었다. 최초 통지 이후 추가로 확인된 유출 대상자 1599명에게는 법정 기한인 72시간을 넘겨 유출 사실을 알린 것으로 조사됐다.
개인정보위는 GS리테일에 접속량과 이용 패턴을 토대로 비정상적인 접근을 탐지·차단할 수 있는 보안정책을 마련하도록 명령했다. 개인정보 보호 전담인력을 두고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 내부 관리체계도 개선하도록 했다.
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]