“장시간 유출됐는데도 몰라”…GS리테일서 166만 명 분 정보 ‘탈탈’

[앵커]

100만 명이 넘는 개인정보가 유출된 GS리테일에 120억 원대 '과징금' 처분이 내려졌습니다.

반년 넘게 해커가 개인정보를 탈취하는 동안 이를 알아채지도 못했고, 조치도 늦었다는 이윱니다.

그런데, 해커가 기존에 유출된 개인정보를 조합해 공격한 것으로 조사되면서 개인정보 유출이 또 다른 유출을 불러오는 구조가 됐다는 우려도 나옵니다.

전동흔 기자가 취재했습니다.

[리포트]

GS리테일 개인정보 유출 사고의 조사 결과가 나왔습니다.

GS25와 GS숍 회원을 합해 유출된 개인정보는 모두 166만 명분입니다.

조사 결과 해커는 다른 곳에서 이미 유출된 아이디와 비밀번호를 조합해 로그인이 될 때까지 여러 차례 입력하는 방식으로 개인정보를 탈취했습니다.

이른바 '크리덴셜 스터핑' 수법입니다.

2024년 6월부터 7달 동안이나 해커가 GS숍 홈페이지에서 로그인 시도와 실패를 반복했는데도, GS리테일 회사는 이를 알아채지 못했습니다.

[송경희/개인정보보호위원회 위원장 : "GS리테일은 이상 행위 탐지 대응과 같은 홈페이지에 대한 접근 통제 조치를 소홀히 하였습니다."]

문제는 해커가 실제 이용자 아이디와 비번으로 로그인해, 익명 처리되지 않은 정보가 그대로 새 나갔다는 겁니다.

GS숍 홈페이지에 직접 가입해 봤습니다.

이름과 생년월일 전화번호, 주소 등을 수집하고 있습니다.

개보위 조사 결과 이런 정보들이 가림 처리 없이 그대로 유출된 겁니다.

[이상근/고려대학교 AI보안연구소장 : "데이터 분석 기술이 발전하면서 (해커들이) 그런 이제 그럴 것 같은 암호를 찾는 것이 좀 빨라질 수는 있습니다."]

개인정보보호위원회는 안전 조치를 소홀히 한 GS리테일에 과징금 128억 3천6백만 원과 과태료 300만 원을 부과했습니다.

이에 대해 GS리테일은 사고 이후 보안 대응 체계를 전면 정비하고, 재발 방지 조치를 강화했다고 밝혔습니다.

KBS 뉴스 전동흔입니다.

촬영기자:한규석/영상편집:양다운/그래픽:이근희 김성일 김지훈

■ 제보하기
▷ 전화 : 02-781-1234, 4444
▷ 이메일 : kbs1234@kbs.co.kr
▷ 카카오톡 : 'KBS제보' 검색, 채널 추가
▷ 유튜브, 네이버에서도 KBS뉴스를 구독해주세요!

전동흔 기자 (east@kbs.co.kr)