GS리테일, 개인정보 대량 유출로 과징금 128억..."안전조치 소홀"

[포인트경제] 개인정보보호위원회가 개인정보 보호 법규를 위반해 대규모 개인정보 유출 사고를 낸 GS리테일을 포함한 4개 사업자에 대해 총 129억5444만원의 과징금과 1020만원의 과태료를 부과했다.

GS리테일, 크리덴셜 스터핑으로 166만명 유출…과징금 128억3600만원

31일 개인정보위에 따르면 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP과 GS25 홈페이지를 대상으로 사전에 확보한 계정 정보를 무차별 대입하는 '크리덴셜 스터핑' 공격을 감행했다. 이를 통해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 이름, 성별, 생년월일, 연락처, 주소 등 개인정보가 유출됐다.

GS리테일은 동일 IP 주소에서 발생하는 대규모 로그인 시도를 탐지·차단하는 대책을 세우지 않았으며, 이상징후가 나타났음에도 이를 인지하지 못해 장기간 유출이 이어졌다. 특히 지난 1월 4일 GS25에서의 유출을 먼저 인지했음에도 대응이 미흡해 GS SHOP에서 동일 공격이 이뤄지고 있던 사실을 2월에야 파악하는 등 최초 인지 이후에도 유출이 지속된 것으로 확인됐다. 유출 대상자 1599명이 추가 확인된 이후 정당한 사유 없이 72시간을 넘겨 통지한 사실도 드러났다.

이에 개인정보위는 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 처분 사실 공표 명령 및 개인정보 보호 전담인력 배치, CPO 권한·책임 명확화 등 거버넌스 전반을 개선하라는 시정명령을 내렸다.

엔라이즈·SK텔레콤·에이토즈도 접근통제 부실로 처분

데이팅 앱을 운영하는 엔라이즈는 본인인증 취약점 점검 소홀과 과다 접속 차단 정책 미비로 736개 계정의 개인정보가 유출돼 과징금 1억1844만원과 과태료 360만원을 부과받았다.

에스케이텔레콤으로부터 '이프랜드' 이벤트 웹사이트 제작·운영을 위탁받은 에이토즈는 관리자 페이지 접근통제 조치를 하지 않아 1140명의 개인정보가 노출됐다. 이에 따라 에이토즈는 경고 처분을 받았으며, 유출 인지 후 24시간을 넘겨 유출 통지·신고를 한 에스케이텔레콤에는 과태료 360만원과 시정명령이 내려졌다.

개인정보위 관계자는 "개인정보처리시스템 운영 시 미인가 접근 제한 등 기본적인 안전조치 의무를 준수해야 한다"며 "유출 사고 발생 시 정보주체가 신속히 대응할 수 있도록 72시간 이내에 신고와 통지를 마쳐야 한다"고 당부했다.