개인정보보호위원회가 회원 개인정보를 유출한 GS리테일에 과징금 128억3600만원, 과태료 300만원을 부과했다고 31일 밝혔다.
개인정보위에 따르면 신원미상의 해커가 2024년 12월~지난해 1월까지 GS SHOP 홈페이지에 '크리덴셜 스터핑' 공격을 시도해 로그인에 성공했다. 크리덴셜 스터핑은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해서 접속을 시도하는 공격 방식이다. 해커는 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보를 유출했다.
GS리테일은 짧은 시간 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고 로그인 시도 및 로그인 실패가 급증하는 이상징후가 발생했음에도 이를 파악하지 못했다. GS25 홈페이지 유출을 지난해 1월 최초로 알았으나 대응에 소홀해 GS SHOP 홈페이지에서 동일한 공격이 발생하고 있다는 사실을 지난해 2월이 돼서야 추가로 인지하기도 했다.
GS리테일은 사고 당시 개인정보 전담 조직 부재 및 이원화된 보안 운영 등 개인정보보호 조직의 구성·운영이 미흡했다. 또 최초 유출통지 이후 조사 과정에서 유출 대상자 1599명을 추가 확인했으나 정당한 사유 없이 72시간을 경과해 유출 사실을 통지했다.
개인정보위는 또 해커의 공격으로 736건의 개인정보를 유출한 데이팅 앱 서비스 엔라이즈에 과징금 1억1844만원, 과태료 360만원을 부과했다. 해커는 본인인증 취약점을 이용해 1만6803개의 휴대전화 번호로 로그인을 시도했다. 엔라이즈는 안전 조치를 제대로 취하지 않았다.
이 밖에도 개인정보위는 SK텔레콤으로부터 '이프랜드' 서비스 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 관리자 페이지가 검색엔진에 노출돼 1140명의 개인정보를 유출한 에이토즈에 과태료 360만원을 부과했다.
에이토즈는 관리자 페이지에 대한 IP 주소 제한 등 접근통제 조치를 하지 않았으며 SK텔레콤은 24시간을 경과해 개인정보 유출을 통지·신고한 사실이 확인됐다.
개인정보위 관계자는 "이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검 및 조치와 같은 기본 원칙을 준수할 것을 다시 한번 강조했다"고 말했다.