‘166만 명 정보 유출’ GS리테일, 과징금 128억원

동일 IP 대규모 로그인 시도 탐지·차단 못해
GS25 유출 인지 후에도 대응 미흡…개인정보위 시정명령

(시사저널=김규림 기자)

31일 서울 시내의 한 GS25 편의점 모습 ⓒ연합뉴스

GS리테일이 166만여 명의 개인정보가 유출된 사고로 128억원대 과징금을 부과 받았다. 해커의 공격이 장기간 이어지는 동안 대규모 로그인 시도 등 이상 징후를 제대로 파악하지 못한 것으로 조사됐다.

개인정보보호위원회는 지난 26일 전체 회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다. 개인정보위는 처분 사실을 회사 홈페이지에 공표하도록 명령하고 재발 방지를 위한 시정명령도 내렸다.

개인정보위 조사 결과 해커는 사전에 확보한 아이디와 비밀번호를 무차별적으로 대입하는 '크리덴셜 스터핑' 수법으로 GS리테일이 운영하는 GS SHOP과 GS25 홈페이지에 침입했다. 이후 회원정보 수정 페이지에 접근해 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명의 이름과 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 빼낸 것으로 조사됐다.

GS리테일은 짧은 시간 동안 동일한 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않은 것으로 나타났다. 로그인 시도와 실패가 급격하게 늘어나는 이상 징후가 있었지만 이를 인지하지 못하면서 개인정보 유출이 장기간 이어졌다.

특히 GS리테일은 지난해 1월4일 GS25 홈페이지의 개인정보 유출 사실을 처음 인지했지만 GS SHOP에서 같은 방식의 공격이 발생하고 있다는 사실은 한 달여 뒤인 2월에야 파악했다. GS25 공격에 사용된 IP 주소 가운데 327개는 GS SHOP 공격에도 동일하게 사용됐지만 추가 유출을 막지 못했다. 사고 당시 개인정보 전담 조직이 없고 보안 운영이 이원화되는 등 개인정보 보호 조직의 구성·운영도 미흡했던 것으로 조사됐다.

유출 사실 통지 과정에서도 문제가 확인됐다. 최초 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 GS리테일은 정당한 사유 없이 72시간이 지나 이들에게 유출 사실을 통지했다. 개인정보위는 비정상 접속을 식별할 수 있는 보안 정책 마련과 개인정보 보호 전담인력 배치, 개인정보보호책임자(CPO)의 권한·책임 명확화 등을 하도록 시정명령했다.

GS리테일은 개인정보 유출 사고에 대해 사과하고 보안 시스템과 관리 체계를 전면적으로 점검했다고 밝혔다. 주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 강화했으며, 개인정보 보호를 주요 경영 과제로 삼아 재발 방지 노력을 이어가겠다는 입장이다.