SBS Biz

[앵커]

GS리테일이 대규모 개인정보 유출 사고로 100억원이 넘는 과징금을 부과받았습니다.



GS샵과 GS25에서 160만명이 넘는 고객 정보가 유출됐는데, 회사는 장기간 이어진 이상 로그인 시도를 눈치채지 못했습니다.

취재기자 연결합니다.

김기송 기자, 자세한 해킹 규모와 방식 전해주시죠.

[기자]



홈쇼핑 GS샵과 편의점 GS25에서 모두 166만명이 넘는 고객 개인정보가 유출됐습니다.

해킹공격은 2024년 6월부터 2025년 초까지 반년 넘게 이어졌습니다.

해커는 다른 곳에서 확보한 아이디와 비밀번호를 무작위로 대입하는 이른바 '크리덴셜 스터핑' 방식으로 로그인에 성공했습니다.

이 과정에서 GS샵과 GS25 고객의 이름과 연락처, 주소, 이메일 등이 유출됐습니다.

개인정보보호위원회는 GS리테일에 과징금 128억3천600만원과 과태료 300만원을 부과했습니다.

[앵커]

개인정보위가 특히 문제 삼은 부분은 뭡니까?

[기자]

짧은 시간 동안 같은 IP에서 대규모 로그인 시도가 이어지고 로그인 실패가 급증했는데도, 이를 제대로 탐지하거나 차단하지 못한 것으로 조사됐습니다.

또한 GS리테일은 GS25 유출 사실을 2025년 1월 4일 처음 확인했지만, 같은 공격이 GS샵에서도 이어지고 있다는 사실은 한 달가량 지난 2월에야 추가로 파악했습니다.

실제로 GS25 공격에 쓰인 IP 가운데 327개가 GS샵 공격에도 똑같이 사용됐습니다.

이 같은 허점이 드러난 건 사고 당시 회사가 개인정보 전담조직이 없었고, 보안 운영도 이원화돼 있었기 때문이었습니다.

추가로 확인된 유출 대상자 1천599명에게는 법정 기한인 72시간을 넘겨 유출 사실을 통지한 것으로 나타났습니다.

개인정보위는 재발 방지 대책과 함께 전담인력 배치와 개인정보보호책임자의 권한과 책임을 명확히 하라고 명령했습니다.

SBS Biz 김기송입니다.