GS리테일, 개인정보 유출로 과징금 128억 3600만원

• 
• 
• 

[이데일리 안유리 기자] 개인정보 유출 사고가 발생한 GS리테일(007070)이 개인정보보호법 위반으로 과징금 128억 3600만원을 부과받았다.

송경희 개인정보보호위원회 위원장이 26일 수요일 정부서울청사에서 개최된 제17회 전체회의에서 의사봉을 두드리고 있다. (사진=개인정보보호위원회)

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 GS리테일과 엔라이즈, SK텔레콤 등 3개 사업자에 총 129억5444만원의 과징금과 1020만원의 과태료를 부과했다고 밝혔다. 재발 방지 대책 마련 등 시정명령과 처분 결과 공표도 의결했다.

GS리테일에는 과징금 128억3600만원과 과태료 300만원이 부과됐다.

신원 미상의 해커는 2024년 6월부터 올해 2월까지 GS샵과 GS25 홈페이지에 크리덴셜 스터핑 공격을 시도했다. 크리덴셜 스터핑은 사전에 확보한 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 공격 방식이다.

해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속했다. 이 과정에서 GS샵 회원 158만1025명과 GS25 회원 7만9128명 등 총 166만153명의 개인정보가 유출됐다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

개인정보위 조사 결과 GS리테일은 동일한 인터넷주소(IP)에서 짧은 시간 동안 대규모 로그인 시도가 발생해도 이를 탐지·차단할 수 있는 대책을 마련하지 않았다. 로그인 시도와 실패가 급증하는 이상 징후도 인지하지 못해 개인정보 유출이 장기간 이어졌다.

GS리테일은 올해 1월 4일 GS25에서 발생한 유출을 처음 인지했다. 하지만 GS샵에서도 동일한 공격이 진행되고 있다는 사실은 2월이 돼서야 추가로 파악했다. 이에 따라 최초 사고 인지 이후인 1월 4일부터 2월 13일까지 개인정보 유출이 계속됐다. GS25 공격에 사용된 IP 가운데 327개는 GS샵 공격에도 쓰인 것으로 조사됐다.

사고 당시 개인정보 보호 전담 조직이 없었던 점도 지적됐다. 보안 운영 체계가 이원화되는 등 개인정보 보호 조직의 구성과 운영도 미흡했던 것으로 나타났다.

GS리테일은 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명을 추가로 확인했지만, 정당한 사유 없이 법정 기한인 72시간을 넘겨 통지한 것으로 조사됐다.

개인정보위는 GS리테일에 처분 사실을 홈페이지에 공표하도록 명령했다. 비정상적인 접속을 식별할 수 있도록 서비스 접속량과 패턴을 분석하는 보안 정책도 마련하도록 했다. 개인정보 보호 전담 인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 거버넌스 체계 전반을 개선하라는 시정명령도 내렸다.

GS리테일측은 “이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다”면서 “당사는 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다”고 밝혔다. GS리테일은 이어 “주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 보안 대응 체계를 고도화했으며, 고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있다”고 강조했다.

데이팅앱 ‘위피’ 운영사 과징금 1.1억…SKT 360만원 과태료

데이팅 앱 위피(WIPPY)를 운영하는 엔라이즈에는 과징금 1억1844만원과 과태료 360만원이 부과됐다. 해커는 2023년 3월 본인인증 취약점을 이용해 1만6803개의 휴대전화 번호로 로그인을 시도했다. 이 가운데 736개 계정의 닉네임과 성별, 프로필 사진, 생년월일, 학력, 직업 등 개인정보가 유출됐다.

엔라이즈는 본인인증 취약점에 대한 점검과 조치를 소홀히 하고 동일한 IP에서 발생한 과도한 접속을 차단하지 않은 것으로 조사됐다.

SK텔레콤에는 과거 운영한 메타버스 플랫폼 ‘이프랜드’로 과태료 360만원과 시정명령을 받았다. SK텔레콤으로부터 이프랜드 이벤트 운영을 위탁받은 에이토즈에는 경고 처분이 내려졌다.

에이토즈가 제작한 이벤트용 웹사이트의 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화 번호가 유출됐다. 에이토즈는 관리자 페이지에 대한 IP 제한 등 접근 통제 조치를 하지 않았다. SK텔레콤은 당시 법정 기한인 24시간을 넘겨 개인정보 유출 사실을 통지·신고했다.

개인정보위는 “개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하고 주기적으로 취약점을 점검하는 등 기본 원칙을 준수해야 한다”며 “유출 사고가 발생하면 정보주체가 신속하게 대응할 수 있도록 72시간 안에 신고·통지해야 한다”고 밝혔다.