166만명 정보 샜는데 이상징후도 몰랐다…GS리테일, 128억 과징금 철퇴

[마이데일리 = 이호빈 기자] 개인정보보호위원회(이하 개보위)가 개인정보 보호 법규를 위반한 GS리테일에 128억원이 넘는 과징금을 부과했다. GS SHOP과 GS25에서 크리덴셜 스터핑 공격으로 166만여명의 개인정보가 유출된 데 따른 조치다.

개보위는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다. 재발방지 대책 마련 등을 위한 시정명령과 처분 결과 공표 명령도 함께 내렸다.

신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지를 상대로 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에는 2024년 12월 26일부터 2025년 1월 4일까지 크리덴셜 스터핑 공격을 시도해 로그인에 성공했다.

크리덴셜 스터핑은 사전에 확보한 다수의 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 공격 방식이다.

해커는 로그인 이후 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명의 개인정보를 유출했다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

개보위는 GS리테일이 짧은 시간 동일한 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았다고 판단했다. 로그인 시도와 로그인 실패가 급격히 증가하는 이상징후가 발생했지만 이를 인지하지 못해 장기간 유출이 이어졌다는 설명이다.

GS리테일은 2025년 1월 4일 GS25 홈페이지에서 개인정보 유출을 처음 인지했으나 GS SHOP에서도 동일한 공격이 발생하고 있다는 사실은 같은 해 2월에 추가로 파악했다.

개보위에 따르면 GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 동일하게 사용됐다. 이에 따라 최초 유출 인지 이후인 1월 4일부터 2월 13일까지도 GS SHOP에서 개인정보 유출이 계속됐다.

개보위는 사고 당시 개인정보 전담조직의 부재와 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영도 미흡했다고 판단했다.

최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 정당한 사유 없이 72시간을 넘겨 유출 사실을 통지한 점도 확인됐다.

개보위는 GS리테일에 서비스 접속량과 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 마련하도록 시정명령했다.

또 신속한 사고 대응을 위해 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 거버넌스 체계 전반을 점검·개선하도록 했다.

GS리테일은 이날 입장문을 내고 “이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다”고 밝혔다.

이어 “당사는 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다”며 “주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 보안 대응 체계를 고도화했으며, 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있다”고 덧붙였다.