166만명 해킹 피해 탐지 못해
개인정보위, 과태료도 300만원

대규모 해킹 공격을 장기간 탐지하지 못해 고객 166만명의 개인정보를 유출한 GS리테일이 과징금 128억원을 물게 됐다.

개인정보보호위원회는 26일 전체회의에서 ‘개인정보보호법’을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다.

GS리테일이 운영하는 GS SHOP과 GS25에서 약 166만명의 개인정보가 유출돼 GS리테일에 128억원대 과징금이 부과됐다. 개인정보보호위원회는 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3천600만원과 과태료 300만원을 부과하기로 의결했다. 사진은 31일 서울 한 GS25 편의점 모습. 연합뉴스

개인정보위에 따르면 해커는 2024년 6월 21일부터 2025년 2월 13일까지 GS리테일이 운영하는 GS샵 홈페이지, 2024년 12월 26일부터 2025년 1월 4일까지 GS25 홈페이지에 크리덴셜 스터핑(Credential Stuffing) 공격을 시도해 로그인에 성공했다. 크리덴셜스터핑은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속을 시도하는 수법이다.

해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명의 이름·성별·생년월일·연락처·주소·이메일 등을 빼냈다. 개인정보위는 GS리테일이 같은 인터넷 프로토콜(IP) 주소에서 대규모 로그인 시도가 발생할 때 이를 탐지·차단할 수 있는 대책을 마련하지 않았다고 판단했다.

특히 GS리테일은 2025년 1월 4일 GS25 홈페이지에서 개인정보 유출이 일어나고 있는 사실을 인지했지만, GS SHOP에서도 동일한 공격이 일어난 사실을 2월이 돼서야 파악했다.

사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었던 것으로 조사됐다. 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, 이들에게는 정당한 사유 없이 법정 시한인 72시간을 넘겨 유출 사실을 통지했다.

이에 개인정보위는 GS리테일 홈페이지에 처분 사실을 공표하도록 하고, 재발 방지 대책 수립과 개인정보보호 조직 개선 등을 시정 명령했다.

GS리테일은 이날 입장문을 내고 “이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다”고 밝혔다. 이어 “당사는 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다”며 “주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 보안 대응 체계를 고도화했으며, 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있다”고 밝혔다.

김세희 기자 [e-mail]