개인정보보호위원회가 고객 개인정보가 대규모 유출된 GS리테일에 과징금 128억원을 부과했다. 로그인 실패가 급증하는 등 이상징후가 나타났지만 이를 탐지·차단하지 못했고, 한 서비스에서 유출 사실을 확인한 뒤에도 다른 서비스에서 같은 공격이 이어져 약 40일간 추가 유출이 발생한 것으로 조사됐다.
개인정보위는 지난 26일 제17회 전체회의를 열고 GS리테일의 개인정보 보호조치 의무 위반 등에 대해 과징금 총 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다. 재발 방지 대책 마련 등의 시정명령과 함께 처분 결과를 홈페이지에 공표하도록 했다.
조사 결과 신원을 알 수 없는 해커는 미리 확보한 아이디와 비밀번호를 이용해 GS리테일이 운영하는 GS 샵과 GS25 홈페이지에 무차별적으로 로그인을 시도하는 '크리덴셜 스터핑' 공격을 벌였다. GS샵에서는 2024년 6월 21일부터 2025년 2월 13일까지, GS25에서는 2024년 12월 26일부터 2025년 1월 4일까지 공격이 이어졌다. 해커는 로그인에 성공한 뒤 회원정보 수정 페이지 등에 접속해 GS샵 이용자 158만1025명과 GS25 이용자 7만9128명의 개인정보를 빼냈다.
크리덴셜 스터핑 공격이 발생하면 통상 동일 인터넷프로토콜(IP) 주소에서 로그인 시도 횟수와 실패율이 급격하게 증가한다. 하지만 GS리테일은 이런 비정상적인 접속을 탐지·차단할 대책을 마련하지 않은 것으로 조사됐다.
사고 대응 과정에서도 문제가 드러났다. GS리테일은 2025년 1월 4일 GS25 홈페이지에서 개인정보가 유출된 사실을 처음 파악했지만, GS샵에서도 같은 공격이 진행되고 있다는 사실은 같은 해 2월 13일에야 추가로 확인했다. 첫 유출 사실을 인지한 뒤에도 약 40일간 다른 서비스에서 개인정보 유출이 계속된 것이다. 특히 GS25를 공격하는 데 사용된 IP 주소 가운데 327개는 GS샵 공격에도 동일하게 사용된 것으로 확인됐다.
개인정보위는 사고 당시 GS리테일에 개인정보 보호 전담조직이 없었고 보안 운영도 이원화돼 있는 등 개인정보 보호 조직과 운영체계가 미흡했다고 판단했다. 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐는데도 정당한 사유 없이 72시간이 지나서야 이들에게 유출 사실을 알린 점도 확인됐다.
이에 따라 GS리테일에 서비스 접속량과 접속 패턴을 분석해 비정상 접속을 식별할 수 있도록 보안정책을 적용하는 등 재발 방지 대책을 시행하라고 명령했다. 또 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스도 전반적으로 개선하도록 했다.
한편, 개인정보위는 이날 데이팅 앱 운영사 엔라이즈에도 과징금 1억1844원과 과태료 360만원을 부과하기로 결정했다. 조사 결과 엔라이즈가 운영하는 데이팅 앱에서는 해커가 본인인증 과정의 취약점을 이용해 2023년 3월 23일부터 27일까지 1만6803개의 휴대전화번호로 로그인을 시도해 736개 계정의 생년월일, 학력, 직업 등 개인정보를 유출한 것으로 나타났다. 엔라이즈는 앱의 본인인증 취약점에 대한 점검과 조치를 소홀히 했고, 동일 IP 주소에서 과도한 접속이 발생해도 이를 차단하도록 설정하지 않은 것으로 확인됐다.
또한 SK텔레콤에는 과태료 360만원과 시정명령을, 에이토즈에는 경고 처분을 내렸다. 에이토즈는 2022년 11월 21일부터 2023년 1월 3일까지 SK텔레콤의 '이프랜드' 이벤트 웹사이트를 운영하면서 관리자 페이지 접근통제를 제대로 하지 않아 1140명의 이름과 휴대전화번호가 유출됐다. SK텔레콤은 유출 사실을 인지하고도 법정 기한인 24시간을 넘겨 통지·신고했다고 개인정보위는 설명했다.