GS SHOP 158만1025명·GS25 7만9128명 개인정보 유출
동일 IP 대량 로그인 탐지·차단 미흡…최초 인지 후에도 유출 지속
추가 확인 1599명에 72시간 넘겨 통지…보호조직·보안체계 개선 명령
전체회의 주재하는 송경희 위원장/연합뉴스
[더파워 류동우 기자] GS SHOP과 GS25 홈페이지에서 대규모 개인정보 유출 사고가 발생한 GS리테일에 128억원이 넘는 과징금이 부과됐다. 해커가 이미 확보한 아이디와 비밀번호를 대량으로 입력하는 ‘크리덴셜 스터핑’ 공격을 장기간 탐지하지 못했고, 한 서비스에서 사고를 인지한 뒤에도 다른 서비스에서 같은 유형의 공격이 계속된 것으로 조사됐다.
31일 개인정보보호위원회에 따르면 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다. 재발방지 대책 마련과 개인정보 보호 조직·운영체계 개선을 시정명령하고 처분 사실을 회사 홈페이지에 공표하도록 했다.
개인정보위 조사 결과 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지를 대상으로 2024년 6월 21일부터 지난해 2월 13일까지 크리덴셜 스터핑 공격을 시도해 로그인에 성공했다.
크리덴셜 스터핑은 공격자가 사전에 확보한 다수의 아이디와 비밀번호를 무차별적으로 입력해 계정 접속을 시도하는 방식이다. 공격 과정에서 로그인 시도 횟수와 로그인 실패율이 급증하는 특징이 나타난다.
해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만1025명의 개인정보를 유출했다. 유출 정보에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.
GS25 홈페이지도 공격을 받았다. 해커는 2024년 12월 26일부터 지난해 1월 4일까지 GS25 홈페이지에 같은 방식의 크리덴셜 스터핑 공격을 가해 7만9128명의 개인정보를 유출했다.
개인정보위는 GS리테일이 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지하고 차단할 수 있는 대책을 마련하지 않았다고 판단했다.
로그인 시도와 로그인 실패 건수가 급격히 증가하는 이상징후가 나타났는데도 이를 제대로 인지하지 못하면서 개인정보 유출이 장기간 이어졌다는 것이다.
특히 GS25에서 유출사고를 처음 확인한 이후에도 GS SHOP에서는 같은 유형의 공격이 계속됐다.
GS리테일은 지난해 1월 4일 GS25 홈페이지의 개인정보 유출 사실을 처음 인지했다. 하지만 사고 대응 과정에서 GS SHOP 홈페이지에서도 동일한 공격이 진행되고 있다는 사실을 곧바로 파악하지 못했다.
GS SHOP에서 벌어진 공격을 추가로 인지한 것은 지난해 2월이었다. GS25 공격에 사용된 IP 가운데 일부인 327개가 GS SHOP 공격에도 동일하게 사용된 것으로 조사됐다. 이 때문에 GS25 사고를 처음 인지한 지난해 1월 4일부터 2월 13일까지도 GS SHOP을 통한 개인정보 유출이 계속됐다.
개인정보 보호 조직과 사고 대응체계에도 문제가 있었던 것으로 나타났다.
사고 당시 GS리테일에는 개인정보 보호 전담조직이 없었고 보안 운영체계도 이원화돼 있었다. 개인정보위는 개인정보 보호 조직의 구성과 운영이 전반적으로 미흡했다고 판단했다.
개인정보 유출 통지도 늦었다. GS리테일은 최초 유출 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명을 추가로 확인했지만 정당한 사유 없이 법정기한인 72시간을 넘겨 해당 사실을 통지한 것으로 조사됐다.
개인정보위는 이에 따라 GS리테일이 개인정보보호법상 안전조치 의무와 개인정보 유출 통지 의무를 위반했다고 판단했다.
GS리테일에는 서비스 접속량과 접속 패턴을 분석해 비정상적인 접속을 식별할 수 있는 보안정책을 마련하고 실제 시스템에 적용하도록 명령했다.
개인정보 유출사고가 발생했을 때 신속하게 대응할 수 있도록 개인정보 보호 전담인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 전반을 점검·개선하도록 했다.
개인정보위는 이날 GS리테일 외에도 엔라이즈와 SK텔레콤, 에이토즈 등 3개 사업자에 대한 제재도 의결했다.
GS리테일을 포함한 4개 사업자에 부과된 과징금은 모두 129억5444만원, 과태료는 총 1020만원이다.
데이팅 앱 등을 운영하는 엔라이즈에는 과징금 1억1844만원과 과태료 360만원이 부과됐다.
해커는 엔라이즈가 운영하는 데이팅 앱의 본인인증 취약점을 이용해 2023년 3월 23일부터 27일까지 1만6803개의 휴대전화번호로 로그인을 시도했다.
이 과정에서 736개 계정의 개인정보가 유출됐다. 유출 정보에는 닉네임과 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등이 포함됐다.
개인정보위는 엔라이즈가 앱에 존재하던 본인인증 취약점을 제대로 점검·조치하지 않았고 동일 IP에서 과도한 접속이 발생해도 이를 차단하는 정책을 설정하지 않았다고 봤다.
SK텔레콤에는 과태료 360만원과 시정명령이 내려졌다. 온라인 마케팅 서비스업체 에이토즈는 SK텔레콤으로부터 메타버스 서비스 ‘이프랜드’ 관련 행사를 위탁받아 행사 웹사이트를 제작·운영하는 과정에서 개인정보를 유출한 것으로 조사됐다.
2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화번호가 유출됐다.
에이토즈는 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 적용하지 않았고, SK텔레콤은 당시 적용되던 법정기한인 개인정보 유출 인지 후 24시간을 넘겨 유출 사실을 통지·신고한 것으로 확인됐다.
개인정보위는 에이토즈에는 경고 조치를 내렸다. 개인정보위는 이번 처분을 통해 개인정보처리시스템을 운영하는 사업자는 인가받지 않은 접근을 제한하는 접근통제 조치와 주기적인 취약점 점검 등 기본적인 보호조치를 충실히 이행해야 한다고 강조했다.
또 개인정보 유출사고가 발생할 경우 정보주체가 신속하게 사고 사실을 인지하고 대응할 수 있도록 원칙적으로 72시간 이내 유출 신고와 통지를 해야 한다고 당부했다.
