GS SHOP 158만명·GS25 7만9000명 피해…72시간 내 유출통지도 위반
이상 로그인 탐지·차단 미흡…사고 인지 후에도 한 달 넘게 유출 지속

[도시경제채널 = 유주영 기자] 개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일 등 4개 사업자에 대해 총 129억5444만원의 과징금과 1020만원의 과태료를 부과하고 시정명령 및 처분 결과 공표를 의결했다고 31일 밝혔다.

조사 결과 GS SHOP과 GS25에서는 신원 미상의 해커가 이른바 ‘크리덴셜 스터핑’ 공격을 통해 회원 계정에 로그인한 뒤 개인정보를 유출했다.

개인정보위는 GS리테일 등 4개 사업자에 대해 총 129억5444만원의 과징금과 1020만원의 과태료를 부과했다. / 개인정보보호위원회 과징금, 과태료, 시정명령 내용 재구성

GS SHOP에서는 지난 2024년 6월21일~2025년 2월13일 사이 공격이 시도돼 158만1025명의 개인정보가 유출됐다. 또 GS25에서는 지난 2024년 12월26일~2025년 1월4일 사이 공격으로 7만9128명의 개인정보가 유출됐다. 유출된 정보에는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

GS리테일은 특히 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단하는 대책도 마련하지 않았다. 로그인 시도와 실패가 급격히 증가하는 이상 징후가 발생했음에도 이를 인지하지 못해 개인정보 유출이 장기간 지속된 것으로 조사됐다.

GS25에서 발생한 유출을 2025년 1월4일 처음 인지했지만, GS SHOP에서도 같은 공격이 진행되고 있다는 사실은 2025년 2월이 돼서야 파악하고 최초 유출을 인지한 이후에도 1월4일~2월13일 사이 개인정보가 추가로 유출됐다.

개인정보 보호 조직 운영도 미흡했던 것으로 나타났다. 사고 당시 개인정보 전담조직이 없었고 보안 운영이 이원화돼 있었다. 또 최초 유출통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, 정당한 사유 없이 72시간을 넘겨 유출 사실을 통지한 사실도 확인됐다.

이에 개인정보위는 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 홈페이지에 처분 사실을 공표하도록 명령했다. 또 서비스 접속량과 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하고, 개인정보 보호 전담인력을 배치하는 등 재발 방지 대책을 마련·시행하도록 했다.

이외 최고개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 체계 전반도 점검·개선하도록 명령했다.

한편 이번 전체회의에서는 GS리테일 외에 엔라이즈, 에스케이텔레콤, 에이토즈에 대한 처분이 함께 의결됐다.

엔라이즈는 데이팅 앱의 본인인증 취약점 등을 통해 736개 계정의 개인정보가 유출돼 과징금 1억1844만원과 과태료 360만원을 부과받았고, 에스케이텔레콤은 개인정보 유출 통지·신고가 24시간을 경과한 사실이 확인돼 과태료 360만원과 시정명령을 받았다. 또 에이토즈는 관리자 페이지에 대한 접근통제 조치 미흡으로 개인정보 1140건이 유출돼 경고 처분을 받았다.

[ⓒ 도시경제채널. 무단전재-재배포 금지]