#GS리테일

• 크리덴셜 스터핑 공격 방치·늑장 통지 등 안전조치 총체적 부실
• SKT·엔라이즈 등 포함 4개사에 총 129억 원 대규모 제재 단행

국내 대형 유통 기업이 허술한 보안 관리로 고객 166만 명의 개인정보를 유출당해 120억 원이 넘는 대형 과징금 처분을 받았다. 개인정보보호위원회는 전체회의를 통해 안전성 확보 조치 의무를 위반한 ㈜지에스리테일을 비롯한 4개 사업자에 대해 총 129억 5,444만 원의 과징금과 1,020만 원의 과태료 부과 조치를 의결했다.

이번 제재에서 가장 큰 비중을 차지한 지에스리테일은 해커의 ‘크리덴셜 스터핑’ 공격에 무방비로 노출되며 심각한 피해를 낸 것으로 드러났다. 크리덴셜 스터핑은 이미 확보한 다수의 아이디와 비밀번호를 무차별 대입해 접속을 시도하는 기법으로, 특정 시간 동안 로그인 실패율이 급증하는 명확한 이상 징후를 동반한다. 그러나 지에스리테일은 동일 IP 주소의 대규모 접근을 탐지하거나 차단하는 기본적인 보안 시스템조차 갖추지 않았다.

그 결과 해커는 GS SHOP에서 1,581,025명, GS25에서 79,128명 등 총 1,660,153명에 달하는 회원의 이름, 생년월일, 연락처, 주소, 이메일 정보를 탈취했다. 더욱이 GS25에서 발생한 공격 IP 일부가 GS SHOP 공격에도 그대로 사용되었음에도 기업 측은 이를 조기에 파악하지 못했다. GS25의 유출을 인지한 후에도 대응 체계가 제대로 작동하지 않아 GS SHOP에서는 한 달 넘게 무단 유출이 지속됐다.

보안 관리 조직의 구조적 문제도 드러났다. 개인정보 전담 조직이 부재했거나 보안 운영이 이원화되어 있어 초기 대응이 연쇄적으로 지연됐다. 조사 과정에서 추가 확인된 유출 피해자 1,599명에 대해서는 법적 통지 시한인 72시간을 넘겨 늑장 통지한 사실도 확인됐다. 개인정보위원회는 과징금 128억 3,600만 원과 과태료 300만 원 부과와 함께 최고책임자(CPO) 권한 강화 및 전담 인력 배치를 포함한 종합 시정명령을 내렸다.

다른 사업자들의 보안 관리 소홀도 함께 적발됐다. 데이팅 앱을 운영하는 엔라이즈는 본인인증 취약점 방치 및 과다 접속 차단 정책 미비로 736명의 개인정보가 유출되어 과징금 1억 1,844만 원과 과태료 360만 원을 부과받았다. SK텔레콤과 마케팅 수탁사 에스에이토즈는 이벤트 웹사이트 관리자 페이지의 접근 통제 미흡으로 1,140명의 정보가 검색엔진에 노출됐으며, 지연 신고 위반 등이 적용되어 과태료와 시정명령 처분을 받았다.