[아이뉴스24 곽민구 기자] 개인정보보호위원회(이하 개인정보위)는 166만명의 회원 정보를 유출한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다.
개인정보위 조사 결과 해커는 GS리테일이 운영하는 GS샵과 GS25 홈페이지를 대상으로 ‘크리덴셜 스터핑(Credential Stuffing)’ 공격을 벌여 각각 158만1025명과 7만9128명의 개인 정보를 빼냈다. 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 유출됐다. 크리덴셜 스터핑은 미리 확보한 아이디와 비밀번호를 여러 사이트에 대입해 로그인을 시도하는 공격 방식이다.
GS리테일은 짧은 시간 동안 동일한 IP 주소에서 발생하는 대규모 로그인 시도를 탐지·차단하는 대책을 마련하지 않은 것으로 조사됐다. 로그인 시도와 실패가 급증하는 이상징후도 제때 파악하지 못해 개인정보 유출이 장기간 이어졌다.
사고 대응에도 문제가 확인됐다. GS리테일은 지난해 1월 4일 GS25의 개인정보 유출을 인지했지만 GS 샵에서 같은 공격이 발생하고 있다는 사실은 한 달여 뒤인 2월에 파악했다. 이 기간 GS샵에서 개인정보 유출이 계속됐다.
개인정보 전담 조직이 없고 보안 운영이 이원화돼 있었던 점도 지적됐다. 조사 과정에서 추가로 확인된 유출 대상자 1599명에게 법정 기한인 72시간을 넘겨 유출 사실을 통지했다.
개인정보위는 GS리테일에 재발 방지 대책을 마련하고 개인정보 보호 전담인력을 배치하는 등 관련 체계를 개선하도록 시정명령했다. 처분 사실을 홈페이지에 공표하도록 하는 명령도 내렸다.
GS리테일은 “개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다”며 “사고 이후 보안 시스템과 관리체계를 전면 점검하고 정보보호 수준을 강화해 왔다”고 밝혔다.
이어 “주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성해 보안 대응 체계를 정비했고, 임직원 교육과 내부 관리체계 개선 등 재발 방지 조치도 지속하고 있다”며 “앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 노력하겠다”고 덧붙였다.
한편 개인정보위는 다른 개인정보 유출 사고와 관련해 데이팅 앱 운영사 엔라이즈에는 과징금 1억1844만원과 과태료 360만원을 부과했다. SK텔레콤에는 과태료 360만원과 시정명령을, 에이토즈에는 경고 처분을 내렸다.
/곽민구 기자(allrounder9261@inews24.com)