[비즈니스포스트] 개인정보보호위원회가 GS리테일의 개인정보 유출 사고와 관련해 128억 원이 넘는 과징금을 부과했다.

개인정보위는 26일 전체회의를 열고 GS리테일에 과징금 128억3600만 원과 과태료 300만 원을 부과하고 재발방지 대책 마련과 개인정보 보호 조직 개선 등을 시정명령했다고 31일 밝혔다. 처분 사실을 회사 홈페이지에 공표하도록 하는 명령도 내렸다. 
 

조사 결과 신원 미상의 해커는 GS리테일이 운영하는 GS샵 홈페이지에 2024년 6월21일부터 2025년 2월13일까지, GS25 홈페이지에는 2024년 12월26일부터 2025년 1월4일까지 '크리덴셜 스터핑' 공격을 시도해 로그인에 성공했다. 

크리덴셜 스터핑은 사전에 확보한 다수의 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 공격 방식이다.

이 공격으로 GS샵 회원 158만1025명과 GS25 회원 7만9128명의 개인정보가 유출됐다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다. 

개인정보위는 GS리테일이 짧은 시간 동안 동일한 인터넷주소(IP)에서 대규모 로그인 시도가 발생할 때 이를 탐지하거나 차단할 수 있는 대책을 마련하지 않았다고 판단했다.

로그인 시도와 실패가 급격하게 늘어나는 이상징후가 발생했지만 이를 인지하지 못하면서 개인정보 유출이 장기간 이어졌다고 봤다. 

GS리테일은 2025년 1월4일 GS25 홈페이지에서 발생한 개인정보 유출을 처음 인지했지만 GS샵에서도 같은 공격이 진행되고 있다는 사실은 2월이 돼서야 파악했다. GS25 공격에 사용된 IP 가운데 327개는 GS샵 공격에도 동일하게 사용됐다. 

개인정보위는 사고 당시 GS리테일에 개인정보 보호 전담조직이 없었고 보안 운영도 이원화돼 있는 등 개인정보 보호 조직의 구성과 운영이 미흡했다고 지적했다.

최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 정당한 사유 없이 72시간을 넘겨 유출 사실을 통지한 점도 확인됐다. 

개인정보위는 GS리테일에 서비스 접속량과 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하고 개인정보 보호 전담인력을 배치하도록 했다. 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 전반을 점검·개선하라는 내용도 시정명령에 포함했다. 조성근 기자