고객은 통합했는데 보안은 엇박자…GS리테일 합병 후 드러난 ‘사각지대’

GS25 유출 확인하고도 GS샵 동일 공격 한 달 이상 놓쳐
공격 IP 327개 겹쳤지만 “서비스 간 위험정보 공유 미흡”
합병 후 고객·채널 통합…보안 관제·대응체계 ‘빈틈’ 지적

쿠키뉴스 자료사진

GS리테일이 고객과 서비스 통합에는 속도를 냈지만 이를 뒷받침할 보안 대응체계는 충분히 갖추지 못했다는 지적이 나온다. GS25에서 개인정보 유출을 확인하고도 같은 공격이 진행 중이던 GS샵을 한 달 넘게 발견하지 못하면서 피해를 키웠다는 설명이다.

31일 개인정보보호위원회는 GS리테일의 개인정보 보호법 위반에 대해 과징금 128억3600만원과 과태료 300만원을 부과했다고 밝혔다.

개인정보위에 따르면 해커는 외부에서 확보한 아이디와 비밀번호를 무차별적으로 입력하는 ‘크리덴셜 스터핑’ 방식으로 GS샵과 GS25에 침입했다. 이로 인해 GS샵에서는 2024년 6월21일부터 2025년 2월13일까지 158만1025명, GS25에서는 2024년 12월26일부터 2025년 1월4일까지 7만9128명의 개인정보가 유출됐다. 유출 정보에는 이름과 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

GS리테일은 2025년 1월4일 GS25 유출 사실을 확인했지만, 당시 GS샵에서도 동일한 공격이 진행되고 있다는 사실을 즉시 파악하지 못했다. GS샵의 개인정보 유출은 이후에도 2월13일까지 약 40일간 계속됐다. GS25 공격에 사용된 IP 가운데 327개가 GS샵 공격에도 동원됐지만 회사는 두 서비스의 공격 정보를 연결하지 못했다.

특히 사고 당시 개인정보 보호 전담조직이 없었고 보안 운영이 이원화돼 있었던 점이 문제로 지적됐다. 최초 유출 통지 이후 추가 피해자 1599명이 확인됐지만, 이들에 대한 통지도 정당한 사유 없이 법정기한인 72시간을 넘겼다.

김승주 고려대 정보보호대학원 교수는 “크리덴셜 스터핑은 잘 알려진 공격 방식으로, 기본적인 대비를 통해 피해를 예방할 수 있지만 보안체계를 갖춘 기업도 공격받는 사례가 있다”며 “공격을 당했다는 사실만으로 기업의 보안 수준을 단정하기는 어렵다”고 말했다.

이어 “해킹 사고에서는 취약점과 피해 정보를 신속하게 공유해 공격이 다른 서비스로 확산되지 않도록 하는 것이 중요하다”며 “개인정보위도 이번 제재를 통해 GS리테일의 사고 인지 이후 정보 공유와 대응이 충분하지 않았다는 점을 지적한 것으로 보인다”고 설명했다.

이번 사고는 GS리테일이 합병 이후 추진해온 고객·서비스 통합 작업과 대비된다. GS리테일은 지난 2021년 7월 GS홈쇼핑을 흡수합병해 GS25와 GS샵을 하나의 법인으로 묶었다. 약 2600만명의 고객 기반과 오프라인 편의점, 홈쇼핑·온라인 채널을 결합해 상품·배송·데이터 분야의 시너지를 내겠다는 구상이었다.

합병을 앞둔 2021년 2월에는 IT·데이터 분석·멤버십·정보보호 담당자 약 150명이 참여하는 ‘통합 고객 태스크포스(TF)’도 꾸렸다. TF는 고객데이터플랫폼과 한번의 로그인으로 여러 서비스를 이용하는 ‘싱글사인온’을 도입하고, 양사가 보유한 정보보호 및 개인정보보호 관리체계(ISMS-P)를 통합하는 작업을 추진했다.

그러나 합병 이후 3년여가 지난 사고 당시에는 개인정보 전담조직이 없고 일부 보안 운영 기능이 분산돼 있었던 것으로 조사됐다. 고객과 채널을 연결하는 작업에 비해 서비스 전반의 보안 관제와 사고 대응체계 정비가 충분하지 못했다는 지적이 나오는 이유다. GS리테일은 사고 이후인 지난해 2월에도 GS25·GS샵·GS더프레시의 포인트와 회원 혜택을 연계한 ‘GS ALL 멤버십’을 출시하는 등 고객 통합을 지속 확대하고 있다.

GS리테일은 GS25와 GS샵의 보안체계를 사업별로 별도 운영한 것은 아니라는 입장이다. GS리테일 관계자는 “당시 클라우드 환경에 구축된 일부 보안 시스템을 클라우드 운영 조직에서 담당하는 등 일부 보안 운영 기능이 분산돼 있었다”며 “사고 이후에는 일부 분산돼 있던 보안 운영 기능을 포함해 정보보호 관리체계를 통합적으로 정비했다”고 말했다.

엄흥열 순천향대 정보보호학과 교수는 “크리덴셜 스터핑은 해커가 이미 확보한 이용자 정보를 활용해 상대적으로 보안이 약한 시스템을 노리는 2차적인 공격으로, 기업의 안전조치를 통해 예방하거나 피해를 줄일 수 있다”며 “서비스 운영조직과 보안조직이 서로 다른 목표를 가질 수 있는 만큼 긴밀한 정보 공유와 균형 있는 의사결정 체계를 갖춰야 한다”고 말했다.

이에 대해 GS리테일은 주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성하고 정보보호 관리체계를 정비했다. 또 구체적인 피해가 확인된 고객에게는 사실관계를 확인해 적절한 보상 등 필요한 조치를 진행할 예정이라고 밝혔다.

회사 측은 “고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력을 지속하고 있다”며 “앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다 하겠다”고 말했다.

이다빈 기자 dabin132@kukinews.com