개보위, 166만명 개인정보 유출 GS리테일에 과징금 128억원 부과

개보위는 GS리테일이 운영하는 GS SHOP과 GS25에서 약 166만명의 개인정보가 유출된 사고와 관련해 128억원대 과징금을 부과했다. 대규모 로그인 시도를 탐지·차단할 보안 대책이 미흡했던 데다 한 서비스에서 유출 사고를 확인한 뒤에도 다른 서비스에서 진행 중인 동일 유형의 공격을 제때 막지 못한 것이 결정적이다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다.

개인정보위 조사 결과 신원 미상의 해커는 GS리테일의 GS SHOP과 GS25 홈페이지를 대상으로 '크리덴셜 스터핑' 공격을 시도했다. 크리덴셜 스터핑은 다른 경로에서 확보한 아이디와 비밀번호를 여러 계정에 대입해 로그인을 시도하는 공격 방식이다.

GS SHOP에서는 2024년 6월21일부터 지난해 2월13일까지 공격이 이어졌으며 GS25는 2024년 12월26일부터 지난해 1월4일까지 공격을 받았다.

공격자는 로그인에 성공한 계정의 회원정보 수정 페이지에 접근해 개인정보를 빼낸 것으로 파악됐다. 유출 대상은 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명으로, 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

개인정보위는 GS리테일이 비정상적인 로그인 시도를 탐지하고 차단하기 위한 안전조치를 충분히 마련하지 않았다고 판단했다. 짧은 시간에 동일 IP에서 대규모 로그인 시도가 발생하거나 로그인 실패가 급증하는 등 이상징후가 나타났지만 이를 제때 파악하지 못했다.

특히 사고를 인지한 이후 대응 과정에서도 허점이 드러났다.

GS리테일은 지난해 1월4일 GS25에서 발생한 개인정보 유출을 파악했지만 GS SHOP에서 같은 방식의 공격이 진행되고 있다는 사실은 한 달여 뒤에야 확인했다. GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 사용됐지만 연관성을 조기에 파악하지 못해 추가 피해를 차단하지 못했다.

개인정보 보호를 위한 내부 관리체계도 미흡했던 것으로 나타났다. 사고 당시 개인정보 보호 업무를 담당하는 전담 조직이 없었으며 보안 운영 체계도 이원화돼 있었다.

유출 통지 과정에서도 법 위반이 확인됐다. 최초 통지 이후 개인정보위 조사 과정에서 추가 유출 대상자 1599명이 확인됐지만 GS리테일은 정당한 사유 없이 법정 기한인 72시간을 넘겨 이들에게 유출 사실을 알렸다.

개인정보위는 과징금과 과태료 부과와 함께 GS리테일 홈페이지에 처분 사실을 공표하도록 명령했다.

아울러 접속량과 접속 패턴 등을 토대로 비정상 접근을 식별할 수 있는 보안정책을 마련하는 등 구체적인 재발 방지 대책을 수립하도록 했다. 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 체계 전반도 개선하도록 시정명령했다.

GS리테일은 사고 이후 보안 시스템과 관리체계를 전면 점검하고 주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성하는 등 대응 체계를 강화했다고 밝혔다. 개인정보 보호를 주요 경영 과제로 두고 임직원 교육과 내부 관리체계 정비 등 재발 방지 조치를 이어가겠다는 입장이다.