GS리테일 제공GS리테일이 대규모 해킹 공격을 장기간 탐지하지 못해 166만여명의 개인정보가 유출된 사고와 관련해 128억원대 과징금을 부과받았다. 특히 한 서비스에서 개인정보 유출을 확인하고도 다른 서비스에서 진행 중이던 동일한 공격을 한 달 넘게 발견하지 못한 것으로 조사됐다.
개인정보보호위원회는 지난 26일 전체회의를 열고 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과하고 재발방지 대책 마련 등의 시정명령을 의결했다고 31일 밝혔다. 처분 사실을 홈페이지에 공표하도록 하는 명령도 함께 내렸다.
조사 결과 신원 미상의 해커는 2024년 6월부터 지난해 2월까지 GS SHOP 홈페이지를 상대로, 2024년 12월부터 지난해 1월까지 GS25 홈페이지를 상대로 '크리덴셜 스터핑(Credential Stuffing)' 공격을 벌였다.
크리덴셜 스터핑은 다른 경로에서 확보한 아이디와 비밀번호를 무차별적으로 입력해 로그인을 시도하는 해킹 방식이다.
해커는 로그인에 성공한 뒤 회원정보 수정 페이지 등에 접근해 개인정보를 빼냈다. 이 과정에서 GS SHOP 회원 158만 1025명과 GS25 회원 7만9128명 등 모두 166만여명의 이름과 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보가 유출됐다.
개인정보위는 GS리테일이 짧은 시간 동안 동일한 IP 주소에서 대규모 로그인 시도가 발생하는 등 이상 징후를 탐지·차단할 대책을 제대로 갖추지 않았다고 판단했다. 로그인 시도와 실패가 급증했는데도 이를 제때 발견하지 못하면서 공격이 장기간 이어졌다는 것이다.
사고를 인지한 이후의 대응에도 문제가 있었던 것으로 조사됐다. GS리테일은 지난해 1월 4일 GS25 홈페이지에서 개인정보 유출 사실을 처음 확인했다. 하지만 GS SHOP에서도 동일한 방식의 공격이 벌어지고 있다는 사실은 한 달 뒤인 2월에야 파악했다.
GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 동일하게 사용됐지만 이를 연계해 분석하지 못했다. 초기 대응이 제대로 이뤄지지 않으면서 최초 사고를 인지한 뒤에도 한 달 넘게 개인정보 유출이 이어진 셈이다.
개인정보 보호 조직과 보안 운영체계에도 허점이 있었다. 사고 당시 개인정보 보호 전담조직이 없었고 보안 운영체계도 이원화돼 있었던 것으로 조사됐다.
유출 사실 통지도 늦었다. 최초 통지 이후 조사 과정에서 피해자 1599명이 추가로 확인됐지만 정당한 사유 없이 법정기한인 72시간을 넘겨 통지한 사실이 확인됐다.
개인정보위는 GS리테일에 서비스 접속량과 패턴을 분석해 비정상적인 접속을 식별할 수 있는 보안정책을 마련하도록 명령했다. 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 체계 전반도 개선하도록 했다.
한편 개인정보위는 데이팅 앱 운영사 엔라이즈에도 본인인증 취약점과 접근통제 미흡 등을 이유로 과징금 1억 1844만원과 과태료 360만원을 부과했다. 엔라이즈에서는 2023년 3월 약 5일 동안 1만 6803개 휴대전화번호로 로그인이 시도됐고, 이 가운데 736개 계정의 개인정보가 유출됐다.
SK텔레콤에는 과거 메타버스 서비스 '이프랜드' 이벤트 과정에서 발생한 개인정보 유출을 뒤늦게 통지·신고한 사실이 확인돼 과태료 360만원과 시정명령을 내렸다. 수탁사 에이토즈에는 경고 처분했다.
개인정보위는 "개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 '접근통제 조치'와 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수해야 한다"며 "유출 사고가 발생할 경우 정보 주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 해야 한다"고 강조했다.
영문기사 보기 (View English Article)