개보위, 재발 방지·조직 개선 명령
개인정보보호위원회(개보위)가 약 166만명 개인정보를 유출한 GS리테일에 대해 과징금 약 128억원을 부과했다. 이와 함께 재발 방지 대책 및 개인정보 보호 조직 전반에 대한 점검 및 개선 시정명령을 내렸다.
개보위는 지난 26일 전체 회의를 열고 개인정보보호법을 위반한 GS리테일에 대해 과징금 128억3600만원, 과태료 300만원 등을 부과하고, 시정 명령 및 홈페이지 결과 공표를 의결했다고 31일 밝혔다.
우선 GS리테일은 2024년 6월 21일부터 지난해 2월 13일까지 GS SHOP(홈쇼핑), GS25(편의점) 등 홈페이지 해킹 공격을 받았다. 사전에 확보한 다수의 아이디, 비밀번호 정보 무차별 대입으로 접속을 시도하는, 이른바 크리덴셜 스터핑 공격이다. 이에 따라 GS 홈쇼핑에서 1158만1025명, GS25에서 7만9128명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보가 유출됐다.
GS리테일은 동일 인터넷 프로토콜(IP) 주소에서 대규모 로그인 시도가 발생하는 경우, 이를 탐지·차단할 수 있는 대책을 마련하지 않았다. 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상 징후가 발생하였음에도, 이를 인지하지 못한 탓에 장기간 유출을 막지 못했다.
또 지난해 1월 4일 GS25 홈페이지에서 유출을 최초 인지했으나, 유출 사고 대응에 소홀했다. GS 홈쇼핑 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 지난해 2월이 돼서야 추가 인지했다. 이 때문에 최초 유출 인지 이후에도 지난해 1월 4일부터 같은 해 13일까지 개인정보가 지속적으로 유출됐다.
이 과정에서 GS25 공격 IP 일부(327개)가 GS SHOP 공격에서도 동일하게 사용된 것으로 확인됐다.
이와 함께 사고 당시 개인정보 전담 조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영도 미흡했던 것으로 나타났다. 최초 유출통지 이후 조사 과정에서 유출 대상자 1599명이 추가 확인됐으나, 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다.
한편, 개보위는 데이팅 앱 운영사 엔라이즈에 736개 계정 개인정보 유출을 이유로 과징금 1억1844만원 및 과태료 360만원 등을 부과했다. SK텔레콤에도 과태료 360만원 등 처분을 내렸다.
에이토즈는 관리자 페이지에 대한 IP 주소 제한 등 접근 통제를 하지 않은 탓에 1140명의 이름 및 휴대폰 번호 등을 유출했다. 해당 회사는 SK텔레콤으로부터 ‘이프랜드’ 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 곳이다. 24시간을 경과해 개인정보 유출을 신고한 SK텔레콤도 과태료 처분을 받았다. 고재우 기자
