GS리테일이 대규모 로그인 시도를 탐지·차단하지 못해 GS샵과 GS25 고객 166만여 명의 개인정보를 유출한 혐의로 128억 원대 과징금을 물게 됐다. 한쪽에서 사고를 확인한 뒤에도 다른 홈페이지에서 동일한 공격이 이어지는 사실을 한 달 넘게 파악하지 못한 것으로 조사됐다.

개인정보보호위원회는 지난 26일 전체회의를 열고 개인정보보호법을 위반한 GS리테일에 과징금 128억3600만 원과 과태료 300만 원을 부과했다고 31일 밝혔다. 처분 결과를 홈페이지에 공개하고 재발 방지 대책을 마련하라는 시정명령도 내렸다.

이번 사고에는 미리 확보한 아이디와 비밀번호를 무차별 대입하는 ‘크리덴셜 스터핑’ 수법이 사용됐다. 해커는 2024년 6월부터 지난해 2월까지 GS샵과 GS25 홈페이지에 침입해 고객의 이름과 생년월일, 연락처, 주소, 이메일 등을 빼냈다. 유출 피해자는 GS샵 158만1025명, GS25 7만9128명으로 총 166만여 명에 달했다.

피해를 키운 것은 GS리테일의 허술한 탐지·대응 체계였다. 동일한 IP 주소에서 대규모 로그인 시도와 실패가 반복됐지만 이를 걸러내지 못했다. 지난해 1월 GS25의 유출을 확인한 뒤에도 GS샵에서 같은 공격이 이어지는 사실은 다음 달에야 파악했다. 당시 개인정보 보호 전담 조직이 없고 보안 운영도 이원화돼 있었으며, 조사 과정에서 추가로 확인된 유출 대상자 1599명에게는 법정 기한인 72시간을 넘겨 통지했다.

개인정보위는 과징금·과태료 부과와 별도로 구체적인 재발 방지 대책을 마련하고 개인정보 보호 조직의 구성·운영 전반을 개선하라는 시정명령을 내렸다. 이에 따라 GS리테일은 비정상 접속을 식별·차단하는 보안 정책을 마련하고, 전담 인력 배치와 개인정보 보호책임자(CPO)의 권한·책임 명확화 등을 추진해야 한다.

GS리테일은 “이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다”며 “사고 이후 주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성하는 등 보안 시스템과 관리체계를 전면 점검했다”고 밝혔다. 이어 “개인정보 보호를 주요 경영 과제로 삼아 임직원 교육과 내부 관리체계 정비를 지속하고 재발 방지에 최선을 다하겠다”고 했다.