'166만명 개인정보 유출' GS리테일에 과징금 128억원

크리덴셜 스터핑으로 개인정보 유출…이상 로그인 탐지·차단 못해

[프라임경제] 개인정보보호위원회(이하 개인정보위)가 약 166만명의 개인정보가 유출된 GS리테일에 128억원대 과징금을 부과했다.

송경희 개인정보보호위원회 위원장이 지난 26일 정부서울청사에서 개최된 제17회 전체회의에서 모두발언을 하고 있다. ⓒ 개인정보보호위원회

개인정보위는 지난 26일 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다.

조사 결과 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지에 대해 2024년 6월21일부터 지난해 2월13일까지, GS25 홈페이지에 대해 2024년 12월 26일부터 지난해 1월 4일까지 '크리덴셜 스터핑' 공격을 시도해 로그인에 성공했다. 

이후 회원정보 수정 페이지에서 접속해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보를 유출했다.

GS리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상 징후가 발생했음에도 이를 인지하지 못해 장기간 유출이 지속됐다.

또 GS리테일은 GS25 홈페이지에서의 유출을 지난해 1월4일 최초 인지했지만, 유출사고 대응에 소홀해 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 지난해 2월에 추가 인지했다.

아울러 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡한 것으로 드러났다. 

최초 유출통지 이후 조사과정에서 유출 대상자 1599명이 추가 확인됐으나, 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다.

이에 개인정보위는 GS리테일에 과징금과 과태료를 부과하고 회사 홈페이지에 처분받은 사실을 공표하도록 명령했다.

또한 재발방지 대책을 수립·시행하고, 신속한 사고대응을 위한 개인정보 보호 전담인력 배치와 개인정보보호책임자(CPO)의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령했다.

GS리테일은 "이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다"고 말했다. 

이어 "주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 고도화했다"며 "고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리 체계 정비 등 재발 방지를 위한 노력도 지속하고 있다"고 덧붙였다.

이날 개인정보위는 엔라이즈와 SK텔레콤(017670), 에이토즈에도 과징금·과태료 부과, 시정명령 등의 처분을 내렸다.

데이팅 앱 '위피'를 운영하는 엔라이즈의 경우 해커가 2023년 3월 1만6803개의 휴대전화번호로 로그인을 시도했고, 이 가운데 736개 계정의 닉네임·성별·프로필 사진·생년월일·학력·직업 등 개인정보가 유출됐다.

조사 결과 엔라이즈는 본인인증 취약점에 대한 점검·조치를 소홀히 하고 동일 IP에서의 과다 접속을 차단하는 정책도 설정하지 않은 것으로 확인됐다.

이에 개인정보위는 엔라이즈에 과징금 1억1844만원과 과태료 360만원을 부과했다.

SK텔레콤이 에이토즈에 위탁해 운영한 메타버스 서비스 '이프랜드' 이벤트 웹사이트에서는 2022년 11월21일부터 2023년 1월3일까지 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화번호가 유출됐다.

조사 결과 에이토즈는 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 하지 않았고, SK텔레콤은 개인정보 유출 사실을 인지한 뒤 당시 법정 기한인 24시간을 넘겨 유출 사실을 통지·신고한 것으로 나타났다.

이에 개인정보위는 SK텔레콤에 과태료 360만원과 시정명령을 내리고 에이토즈에는 경고 처분했다.