해커의 공격에 GS25와 GS SHOP 고객 166만여 명의 개인정보가 무더기로 유출됐다. 허술한 보안 관리 시스템에 한동안 유출 사실조차 몰랐던 GS리테일은 결국 100억원대의 과징금을 물게 됐다.
개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일, 엔라이즈, SK텔레콤, 에이토즈 등 4개 사업자에 대해 총 129억5444만원의 과징금과 1020만원의 과태료를 부과하고 시정명령 및 처분 결과를 공표하도록 의결했다고 31일 밝혔다.
가장 큰 규모의 처분을 받은 곳은 GS25, GS SHOP, GS THE FRESH 등을 운영하는 GS리테일이다. GS리테일은 과징금 128억3600만원과 과태료 300만원을 부과받았다. 여기에 재발방지 대책 수립과 거버넌스 개선을 포함한 시정명령 및 공표 명령도 함께 내려졌다.
조사 결과 신원 미상의 해커가 이용한 수법은 이른바 '크리덴셜 스터핑' 공격이었다. 해커는 사전에 확보한 무수한 아이디와 비밀번호 정보를 무차별로 대입해 GS리테일의 로그인망을 뚫어냈다.
공격은 장기간에 걸쳐 지속됐다. 해커는 GS SHOP 홈페이지를 대상으로 2024년 6월 21일부터 2025년 2월 13일까지 장장 8개월간 침투를 시도해 158만1025명의 회원 정보를 털어갔다. 이어 GS25 홈페이지에서도 2024년 12월 26일부터 2025년 1월 4일까지 열흘 남짓한 기간 동안 7만9128명의 정보가 흘러나갔다. 두 서비스를 합쳐 총 166만 여명에 달하는 고객의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 주요 개인정보가 해커의 손에 넘어간 셈이다.
개인정보위 조사 결과, GS리테일은 보안 관리부터 초기 사고 대응까지 총체적인 부실을 드러낸 것으로 확인됐다. 크리덴셜 스터핑 공격은 특정 IP에서 짧은 시간 동안 대량의 로그인 시도가 이뤄지고 실패율이 급증하는 명확한 특징을 보인다. 그럼에도 GS리테일은 동일 IP에서의 대규모 접속을 탐지하거나 차단하는 기본적인 보안 설정을 갖추지 않았다. 이상 징후를 감지할 시스템이 없다 보니 해킹이 장기간 이어져도 이를 전혀 알지 못했다.
더 큰 문제는 유출을 처음 인지한 이후의 대처였다. GS리테일은 2025년 1월 4일 GS25 홈페이지의 유출 사실을 처음으로 파악했다. 그러나 내부 대응과 교차 점검이 제대로 이뤄지지 않으면서 GS25 공격에 쓰였던 IP 중 327개가 GS SHOP 공격에도 똑같이 사용되고 있다는 사실을 한 달이 지난 2월에야 뒤늦게 확인했다. 최초 인지 후에도 한 달 넘게 GS SHOP에서의 추가 유출을 방치한 셈이 됐다.
여기에 조사 과정에서 1599명의 추가 유출 피해자가 확인됐음에도 GS리테일은 정당한 사유 없이 법정 통지 기한인 72시간을 넘겨 뒤늦게 피해 사실을 통지하는 등 정보주체 보호 의무도 다하지 않았다.
GS리테일 관계자는 "이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다"고 밝혔다.
이어 "주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 고도화했다"면서 "고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고, 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력을 지속하겠다"고 강조했다.
