GS25와 GS샵에서 166만여명의 고객 개인정보가 유출된 GS리테일이 128억원대 과징금을 물게 됐다.
ADVERTISEMENT
특히 GS리테일은 GS25의 정보 유출 사실을 파악한 뒤에도 GS샵에서 같은 방식의 공격이 진행되고 있다는 사실을 한 달여간 인지하지 못한 것으로 드러났다.
개인정보보호위원회는 이 같이 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3,600만원과 과태료 300만원을 부과했다고 31일 밝혔다.
ADVERTISEMENT
개인정보위 조사 결과 신원 미상의 해커는 지난해 6월21일부터 올해 2월13일까지 GS샵 홈페이지를 대상으로 '크리덴셜 스터핑' 공격을 벌였다. GS25 홈페이지에도 지난해 12월26일부터 올해 1월4일까지 같은 방식의 공격이 이뤄졌다.
크리덴셜 스터핑은 다른 경로에서 확보한 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 공격 방식이다.
해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속해 GS샵 고객 158만1,025명과 GS25 고객 7만9,128명 등 총 166만여명의 개인정보를 빼냈다. 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 유출됐다.
개인정보위는 GS리테일의 보안 대응이 미흡했다고 판단했다. 동일 IP 주소에서 짧은 시간 동안 대규모 로그인 시도가 발생했지만 이를 탐지·차단할 대책이 없었고, 이상 징후에도 장기간 공격 사실을 인지하지 못했다는 판단이다.
ADVERTISEMENT
특히 GS리테일은 올해 1월4일 GS25의 정보 유출을 처음 파악했지만, 이미 같은 공격을 받고 있던 GS샵의 유출 사실은 2월이 돼서야 추가로 인지한 것으로 나타났다.
GS25 공격에 사용된 IP 가운데 327개는 GS샵 공격에도 동일하게 사용됐다. 이에 따라 GS25 사고를 인지한 이후에도 2월13일까지 GS샵에서 개인정보 유출이 계속됐다.
ADVERTISEMENT
내부 개인정보 보호 체계도 미흡했던 것으로 조사됐다. 사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었다.
조사 과정에서 추가로 확인된 유출 대상자 1,599명에 대해서는 정당한 사유 없이 법정기한인 72시간을 넘겨 유출 사실을 통지했다고 개인정보위 측은 밝혔다.
ADVERTISEMENT
개인정보위는 GS리테일에 비정상 접속을 식별할 수 있는 보안정책 등 재발방지 대책을 마련하도록 했다. 또 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 관련 거버넌스 체계 전반을 개선하도록 시정명령했다.