‘개인정보 166만명 유출’ GS리테일에 과징금 128억원

로그인 급증해도 파악 못 해…보호 조직도 미흡
추가 유출에도 법정 기한 넘겨 통지

송경희 개인정보위원회 위원장. /개인정보위원회

GS리테일이 운영하는 GS SHOP(숍)과 GS25 홈페이지에서 약 166만명의 개인정보가 유출된 사실이 확인돼 약 128억원의 과징금이 부과됐다.

개인정보보호위원회(개인정보위)는 지난 26일 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다. 또 홈페이지에 처분 사실을 공표하고 재발 방지 대책을 마련하도록 시정명령을 내렸다.

조사 결과 신원이 확인되지 않은 해커는 GS숍 홈페이지를 대상으로 2024년 6월 21일부터 지난해 2월 13일까지, GS25 홈페이지에는 2024년 12월 26일부터 지난해 1월 4일까지 '크리덴셜 스터핑' 공격을 벌였다. 사전에 확보한 아이디와 비밀번호를 대량으로 입력하는 방식으로 로그인을 시도했으며 로그인에 성공한 뒤 회원정보 수정 페이지에 접근해 GS숍 회원 158만1025명과 GS25 회원 7만9128명의 이름·성별·생년월일·연락처·주소·이메일 등을 빼낸 것으로 확인됐다.

GS리테일은 동일 IP에서 짧은 시간에 대량의 로그인 시도가 발생할 경우 이를 탐지하거나 차단할 수 있는 보안 조치를 충분히 마련하지 않은 것으로 조사됐다. 로그인 실패와 시도가 급증하는 이상 징후도 제대로 파악하지 못해 장기간 유출이 이어졌다.

특히 지난해 1월 4일 GS25에서 발생한 개인정보 유출을 인지하고도 GS숍에서도 같은 공격이 진행되고 있다는 사실은 한 달여 뒤에야 확인했다. GS25 공격에 활용된 IP 중 327개가 GS숍 공격에도 재차 사용됐지만 추가 피해를 막지 못했다.

개인정보 보호 조직 운영도 미흡했던 것으로 조사됐다. 사고 당시 개인정보 보호 전담 조직이 별도로 마련되지 않았고 보안 업무도 이원화돼 있었다. 개인정보위 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 GS리테일은 정당한 사유 없이 법정 기한인 72시간을 넘겨 이들에게 유출 사실을 통지한 것으로 나타났다.

개인정보위는 비정상 접속을 식별·차단할 수 있는 보안정책을 마련하고 전담인력을 배치하는 한편 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 체계를 전반적으로 개선하도록 했다.