“개인정보보호를 주요 경영 과제로 삼고 재발방지 노력”
GS리테일은 개인정보 유출 관련 개인정보보호위원회(개보위) 과징금 발표에 “개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한 번 사과드린다”고 31일 밝혔다.
GS리테일은 “당사는 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해왔다”며 이같이 전했다.
이어 “주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 보안 대응 체계를 고도화했으며, 고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있다”며 “앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다하겠다”고 말했다.
개보위는 이날 오전 제17회 전체회의를 열고 GS리테일에 과징금 128억3600만원, 과태료 300만원을 부과하고 재발방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결했다.
이는 2024년 중순부터 2025년 초까지 GS샵과 GS25 홈페이지에서 발생한 ‘크리덴셜 스터핑’ 공격에 따른 고객 개인정보 유출 사고에 대한 결정이다. 크리덴션 스터핑은 사전 확보된 다수 아이디와 비밀번호를 무차별 대입해 접속을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다.
개보위에 따르면 GS샵 홈페이지에 대해 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에 대해선 2024년 12월 26일부터 2025년 1월 4일까지 ‘크리덴셜 스터핑’ 공격 시도가 있었다.
로그인 시도로 회원정보 수정 페이지에서 접속한 해커로 인해 GS샵에서 158만1025명, GS25에서 7만9128명의 개인정보(이름‧성별‧생년월일‧연락처‧주소‧이메일)가 유출됐다.
개보위는 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지‧차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격히 증가하는 이상징후 발생에도 이를 인지하지 못해 장기간 유출이 지속된 점 등을 지적했다.
또 GS25에서 최초 개인정보 유출 인지 이후 GS샵에서도 같은 공격이 발생하고 있던 사실을 한 달이 지나서야 추가 인지한 점과 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 미흡 등도 문제점으로 짚었다.
최초 유출통지 이후 조사 과정에서 유출 대상자 1599명이 추가 확인됐으나 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다.
개보위는 이에 유사 사고 재발을 막기 위해 서비스 접속량‧패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립‧시행할 것을 시정명령했다.
아울러 신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 개인정보보호책임자(CPO)의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검‧개선하도록 했다.
