GS리테일, 166만명 정보 유출로 과징금 128억3600만원

개인정보보호위원회(이하 개인정보위)가 크리덴셜 스터핑 공격 대응과 개인정보 유출 사고 조치가 미흡해 약 165만명의 개인정보가 유출된 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다. 개인정보위는 지난 26일 제17회 전체회의에서 이같은 처분과 시정명령, 공표명령을 의결했다.

개인정보위 조사에 따르면, 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지를 2024년 6월 21일부터 2025년 2월 13일까지 공격했다. GS25 홈페이지에는 2024년 12월 26일부터 2025년 1월 4일까지 공격을 시도했다. 해커는 크리덴셜 스터핑 공격으로 로그인에 성공한 뒤 회원정보 수정 페이지에 접속했다. 이 과정에서 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명의 개인정보가 유출됐다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

크리덴셜 스터핑(Credential Stuffing)은 공격자가 다른 경로에서 확보한 아이디와 비밀번호 조합을 여러 서비스에 대입해 로그인을 시도하는 공격 방식이다. 짧은 시간에 로그인 시도와 로그인 실패가 급증하는 특징이 있다.

개인정보위 조사 결과 GS리테일은 동일 IP에서 짧은 시간 동안 대규모 로그인 시도가 발생해도 이를 탐지하거나 차단할 수 있는 대책을 마련하지 않았다. 로그인 시도와 실패가 급격히 증가하는 이상징후도 인지하지 못하면서 유출이 장기간 이어졌다.

사고 대응 과정에서도 문제가 확인됐다. GS리테일은 2025년 1월 4일 GS25 홈페이지에서 발생한 유출을 처음 인지했다. 그러나 GS SHOP에서도 같은 유형의 공격이 진행되고 있다는 사실은 같은 해 2월에 추가로 확인했다. GS25 공격에 사용된 IP 가운데 327개는 GS SHOP 공격에도 사용됐다. GS SHOP에서는 최초 유출 인지 이후인 1월 4일부터 2월 13일까지도 개인정보 유출이 이어졌다.

개인정보 보호 조직 운영도 처분 사유에 포함됐다. 사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었다. 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 정당한 사유 없이 72시간을 넘겨 통지한 사실도 확인됐다.

개인정보위는 GS리테일에 서비스 접속량과 접속 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하도록 했다. 개인정보 보호 전담인력을 배치하고 개인정보 보호책임자(CPO)의 권한과 책임을 명확하게 하는 등 개인정보 보호 체계 전반을 점검·개선하라는 시정명령도 내렸다.

개인정보위는 이날 엔라이즈와 에스케이텔레콤, 에이토즈에 대한 처분도 함께 의결했다.

엔라이즈가 운영하는 데이팅 앱에서는 해커가 본인인증 취약점을 이용해 2023년 3월 23일부터 27일까지 1만6803개 휴대전화번호로 로그인을 시도했다. 이 가운데 736개 계정의 닉네임과 성별, 프로필 사진, 생년월일, 학력, 직업 등의 개인정보가 유출됐다. 개인정보위는 엔라이즈에 과징금 1억1844만원과 과태료 360만원을 부과했다.

에이토즈는 SK텔레콤의 메타버스 서비스 ‘이프랜드’ 이벤트 웹사이트를 운영하는 과정에서 관리자 페이지에 충분한 접근통제를 적용하지 않았다. 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화번호가 유출됐다. 에스케이텔레콤은 당시 적용되던 법정 기한인 24시간을 넘겨 유출 사실을 통지·신고한 것으로 조사됐다.

개인정보위는 에스케이텔레콤에 과태료 360만원과 시정명령을 내리고 에이토즈에는 경고 처분했다. 이번에 처분한 4개 사업자의 과징금은 총 129억5444만원, 과태료는 총 1020만원이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network