GS리테일이 대규모 개인정보 유출 사고로 128억 원대 과징금을 물게 됐다.

지난달 31일 개인정보보호위원회는 지난 26일 전체회의에서 개인정보 보호법 위반 혐의로 GS리테일에 과징금 128억 3600만 원과 과태료 300만 원을 부과했다고 밝혔다. 이번 사고로 GS SHOP과 GS25 이용자 약 166만 명의 개인정보가 외부로 유출됐다.

신원을 알 수 없는 해커는 GS SHOP 홈페이지에 2024년 6월 21일부터 지난해 2월 13일까지, GS25 홈페이지에는 2024년 12월 26일부터 지난해 1월 4일까지 크리덴셜 스터핑 공격을 감행했다.

크리덴셜 스터핑은 미리 확보한 다수의 아이디와 비밀번호를 무작위로 대입해 로그인을 시도하는 해킹 기법이다.

해커는 로그인 성공 후 회원정보 수정 페이지를 통해 GS SHOP 회원 158만 1,025명과 GS25 회원 7만 9,128명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등을 빼냈다.

뉴스1

개인정보위 조사 결과, GS리테일은 짧은 시간 내 동일 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지하고 차단할 수 있는 보안 대책을 마련하지 않았다. 로그인 시도와 실패가 급증하는 이상 징후가 발생했음에도 이를 인지하지 못해 장기간 개인정보 유출이 계속됐다.

GS리테일은 지난해 1월 4일 GS25 홈페이지의 개인정보 유출을 처음 확인했지만, GS SHOP에서도 동일한 공격이 진행 중이라는 사실은 한 달여 뒤인 2월에야 파악했다.

GS25 공격에 사용된 IP 주소 가운데 327개가 GS SHOP 공격에도 동일하게 사용됐지만 추가 유출을 막지 못했다.

당시 GS리테일은 개인정보 전담 조직이 없었고 보안 운영이 이원화되는 등 개인정보 보호 조직의 구성과 운영이 미흡했던 것으로 드러났다. 최초 유출 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, GS리테일은 정당한 사유 없이 72시간이 지나서야 이들에게 유출 사실을 통지했다.

개인정보위는 GS리테일에 과징금과 과태료를 부과하고 회사 홈페이지에 처분 사실을 공표하도록 명령했다.

또 비정상 접속을 식별할 수 있는 보안정책 등 구체적인 재발 방지 대책을 마련하고, 개인정보 보호 전담인력 배치와 개인정보보호책임자의 권한·책임 명확화 등 개인정보 보호 거버넌스 체계 전반을 점검·개선하도록 시정명령했다.

송경희 개인정보보호위원회 위원장 / 뉴스1

개인정보위는 엔라이즈와 SK텔레콤, 에이토즈에도 과징금·과태료 부과, 시정명령 등의 처분을 내렸다.

데이팅 앱 위피를 운영하는 엔라이즈는 2023년 3월 해커의 로그인 시도로 736개 계정의 닉네임, 성별, 프로필 사진, 생년월일, 학력, 직업 등 개인정보가 유출됐다. 해커는 1만 6803개의 휴대전화번호로 로그인을 시도했다.

조사 결과 엔라이즈는 본인인증 취약점에 대한 점검과 조치를 소홀히 했고 동일 IP에서의 과다 접속을 차단하는 정책도 설정하지 않았다. 개인정보위는 엔라이즈에 과징금 1억 1844만 원과 과태료 360만 원을 부과했다.

SK텔레콤이 에이토즈에 위탁해 운영한 메타버스 서비스 이프랜드 이벤트 웹사이트에서는 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화번호가 유출됐다.

에이토즈는 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 하지 않았고, SK텔레콤은 개인정보 유출 사실을 인지한 뒤 당시 법정 기한인 24시간을 넘겨 유출 사실을 통지하고 신고했다.

개인정보위는 SK텔레콤에 과태료 360만 원과 시정명령을 내리고 에이토즈에는 경고 처분했다.