166만건 개인정보 유출한 GS리테일…과징금 128억3600만원

▲GS리테일 CI

개인정보보호위원회는 GS SHOP, GS25에서 총 166만건의 개인정보가 유출된 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다. 데이팅 앱 ‘위피’ 운영사 엔라이즈, ‘이프랜드’ 서비스 이벤트 진행 과정에서 개인정보가 유출된 SK텔레콤에 대해서도 과징금 및 과태료 처분이 나왔다.

31일 개인정보위에 따르면 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지에 대해 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지는 2024년 12월 26일부터 2025년 1월 4일까지 ‘크리덴셜 스터핑’ 공격을 시도해 로그인에 성공했다. 해당 공격은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속(로그인)을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다.

해커는 회원정보 수정 페이지에 접속해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출했다.

개인정보위는 GS리테일이 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았다고 판단했다. 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생하였음에도 이를 인지하지 못해 장기간 유출이 지속됐기 때문이다.

또한, GS리테일은 GS25 홈페이지에서의 유출을 2025년 1월 4일 최초로 인지했으나 유출사고 대응에 소홀해 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 2025년 2월에 추가 인지했다. 최초 유출 인지 이후에도 개인정보가 지속적으로 유출된 것이다.

아울러 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡했다. 최초 유출통지 이후 조사과정에서 유출 대상자 1599명이 추가 확인됐지만 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다.

이에 개인정보위는 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 또한 서비스 접속량·패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하고, 신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 개인정보보호책임자(CPO)의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령했다.

이외에도 개인정보위는 엔라이즈가 운영하는 데이팅 앱 서비스 ‘위피’의 본인인증 취약점을 이용해 해커가 2023년 1만6803개의 휴대전화번호로 로그인을 시도해 736개 계정의 개인정보를 유출한 사건을 두고 과징금 1억1844만원, 과태료 360만원을 부과했다.

또한 SK텔레콤으로부터 메타버스 플랫폼 ‘이프랜드’ 서비스의 이벤트 진행을 위탁받아 2022~2023년 이벤트용 웹사이트를 제작·운영한 에이토즈에서 1140명의 개인정보가 유출된 것과 관련해 SKT에 과태료 360만원이 부과됐다. 해당 이벤트를 운영한 에이토즈에는 경고 조치가 내려졌다.