[서울=뉴시스]윤정민 기자 = GS리테일이 해킹 공격에 제대로 대응하지 못해 GS샵, GS25 이용자 약 166만명의 개인정보가 유출된 데 대해 128억원대 과징금을 물게 됐다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다.

개인정보위 조사 결과 신원 미상의 해커는 GS리테일이 운영하는 GS샵, GS25 홈페이지를 상대로 크리덴셜 스터핑 공격을 벌였다. 크리덴셜 스터핑은 다른 경로를 통해 미리 확보한 아이디와 비밀번호를 여러 서비스에 무차별 대입해 로그인을 시도하는 공격 방식이다.

GS샵에 대한 공격은 2024년 6월21일부터 지난해 2월13일까지 약 8개월간 이어졌다. GS25도 2024년 12월26일부터 지난해 1월4일까지 공격을 받았다.

공격자는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속해 GS샵 이용자 158만1025명, GS25 이용자 7만9128명의 개인정보를 빼냈다. 유출된 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다. 두 서비스를 단순 합산하면 유출 규모는 166만153명에 달한다.

개인정보위는 GS리테일이 짧은 시간 동안 같은 IP에서 대규모 로그인 시도가 발생했을 때 이를 탐지·차단할 수 있는 대책을 마련하지 않았다고 판단했다. 로그인 시도와 실패 횟수가 급격하게 늘어나는 이상징후가 나타났는데도 이를 인지하지 못해 장기간 개인정보 유출이 이어졌다고 보고 있다.

특히 GS리테일은 지난해 1월4일 GS25에서 발생한 개인정보 유출을 처음 파악하고도 GS샵에서 같은 공격이 진행 중이라는 사실을 약 한 달 뒤에야 알았다.

실제로 GS25 공격에 사용된 IP 가운데 327개는 GS샵 공격에도 똑같이 쓰인 것으로 조사됐다. 이에 GS25 사고를 인지한 지난해 1월4일 이후에도 2월13일까지 GS샵 이용자 개인정보가 계속 유출됐다.

개인정보 보호 조직 운영에서도 문제가 확인됐다. 사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었다.

최초 유출 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명이 추가 확인됐지만 GS리테일은 정당한 사유 없이 법정 기한인 72시간을 넘겨 이들에게 유출 사실을 통지한 것으로 나타났다.

개인정보위는 GS리테일에 서비스 접속량과 패턴을 분석해 비정상적인 접근을 찾아낼 수 있도록 보안정책을 마련하고 시행하라고 명령했다. 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 거버넌스 체계도 전반적으로 점검·개선하도록 했다.

GS리테일 측은 "사고 이후 보안 시스템과 관리체계를 전면 점검하고 주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성하는 등 보안 대응 체계를 강화했다"며 "개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지 노력을 지속하겠다"고 밝혔다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지