일요주간 - ‘개인정보 유출’ GS리테일 과징금 128억 부과

‘크리덴셜 스터핑’ 공격…대응 미흡 과태료 300만원

 

[일요주간 = 강현정 기자] GS리테일이 운영하는 GS SHOP과 GS25에서 약 166만명의 개인정보가 유출돼 128억원대 과징금을 물게 됐다.

개인정보보호위원회는 고객 개인정보가 대규모 유출된 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다.

개인정보위 조사 결과 해커는 미리 확보한 아이디와 비밀번호를 이용해 GS리테일이 운영하는 GS SHOP과 GS25 홈페이지에 무차별적으로 로그인을 시도하는 ‘크리덴셜 스터핑’ 공격을 벌였다.

GS SHOP에서는 2024년 6월 21일부터 2025년 2월 13일까지, GS25에서는 2024년 12월 26일부터 2025년 1월 4일까지 공격이 이어졌다. 

 

해커는 로그인에 성공한 뒤 회원정보 수정 페이지 등에 접속해 GS SHOP 이용자 158만1025명과 GS25 이용자 7만9128명의 개인정보를 빼냈다.

GS리테일은 이런 비정상적인 접속을 탐지·차단할 대책을 마련하지 않은 것으로 조사됐다.

로그인 시도와 실패 건수가 급증했지만 이를 인지하지 못해 개인정보 유출이 장기간 이어졌다.

사고 대응 과정에서도 문제가 드러났다. 최초 유출 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, GS리테일은 정당한 사유 없이 72시간이 지난 뒤 이들에게 유출 사실을 통지했다.

 

[ⓒ 일요주간. 무단전재-재배포 금지]