[서울= 뉴스핌] 정승원 기자= 개인정보보호위원회가 31일 개인정보 유출사고를 일으킨 GS리테일에 과징금 128억 3600만원을 부과했다.

신원 미상의 해커가 2024년 6월부터 2025년 2월까지 GS리테일의 GS SHOP과 GS25 홈페이지를 대상으로 크리덴셜 스터핑 공격을 시도했다.

이는 미리 확보한 아이디와 비밀번호를 무차별 대입하는 방식이다. 해커는 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보를 유출했다.

GS리테일은 동일 IP 주소에서 대규모 로그인 시도가 발생할 때 이를 탐지·차단할 대책을 마련하지 않았다. 로그인 시도 및 실패가 급증하는 이상징후가 발생했음에도 인지하지 못해 유출이 장기간 지속됐다.

GS25 홈페이지에서의 유출을 2025년 1월 4일 최초 인지했으나 같은 공격이 GS SHOP에서도 발생하고 있던 사실은 2월에야 추가로 인지했다. 또한 개인정보 전담조직이 없었고 보안 운영이 이원화돼 있었으며 최초 유출 통지 이후 추가로 확인된 1599명에 대해 72시간을 경과해 통지했다.

개인정보위는 GS리테일에 비정상 접속을 식별할 수 있는 보안정책 적용, 개인정보 보호 전담인력 배치, 최고개인정보보호책임자(CPO)의 권한과 책임 명확화 등을 시정명령했다.

개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 다시 한번 강조했다.

또한 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부했다.

origin@newspim.com