GS25·GS SHOP 연쇄 해킹…개보위, GS리테일 과징금 128억

GS SHOP 158만명·GS25 7만9000명 피해

대규모 로그인 이상징후도 놓쳐

개인정보 전담조직 부재까지 지적

송경희 개인정보보호위원회 위원장이 26일 정부서울청사에서 개최된 제17회 전체회의에서 의사봉을 두드리고 있다.ⓒ개인정보보호위원회

GS리테일이 해커의 대규모 로그인 공격을 제때 탐지·차단하지 못해 GS SHOP과 GS25 이용자 개인정보가 유출된 데 대해 128억원대 과징금을 부과받았다. GS25에서 사고를 인지한 뒤에도 같은 공격이 GS SHOP에서 한 달 넘게 이어졌지만 추가 유출을 막지 못한 것으로 조사됐다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다. 재발방지 대책 마련과 개인정보 보호 조직·거버넌스 개선, 처분 결과 공표도 명령했다.

신원 미상의 해커는 다른 경로에서 확보한 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 '크리덴셜 스터핑' 방식으로 GS리테일 서비스를 공격했다. GS SHOP에는 2024년 6월 21일부터 2025년 2월 13일까지, GS25에는 2024년 12월 26일부터 올해 1월 4일까지 로그인을 시도했다.

이 과정에서 GS SHOP 이용자 158만1025명과 GS25 이용자 7만9128명의 개인정보가 유출됐다. 유출 항목에는 이름과 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

개인정보위 조사 결과 GS리테일은 짧은 시간 동안 동일 IP에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단하는 대책을 마련하지 않았다. 로그인 시도와 실패가 급증하는 이상징후도 발견하지 못해 공격이 장기간 이어졌다.

사고 대응에도 허점이 있었다. GS리테일은 올해 1월 4일 GS25의 개인정보 유출을 처음 인지했지만 GS SHOP에도 같은 공격이 이뤄지고 있다는 사실은 2월이 돼서야 파악했다. GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 쓰였으며, 최초 사고 인지 이후에도 GS SHOP에서는 2월 13일까지 개인정보 유출이 이어졌다.

당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있는 등 조직 체계도 미흡했던 것으로 조사됐다. 최초 통지 이후 추가로 확인된 유출 대상자 1599명에게는 정당한 사유 없이 법정 기한인 72시간을 넘겨 사고 사실을 알렸다.

개인정보위는 GS리테일에 비정상 접속을 식별할 수 있도록 서비스 접속량과 패턴을 분석하는 보안정책을 적용하고, 개인정보 보호 전담인력을 배치하도록 했다. 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 전반도 점검·개선하라고 명령했다.