개인정보위, GS리테일에 과징금 128억원…회원 158만명 정보 유출 작성일 08-31 14 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">크리덴셜 스터핑 공격…아이디·비밀번호 무작위 대입<br>대규모 로그인 시도 차단 조치 없어</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Y3gPwxvmjs"> <p contents-hash="5d010cd86e13d62d1888e5b8d5d9b912de41590f6ee34324c58189420502075e" dmcf-pid="G6lcXEu5Nm" dmcf-ptype="general">약 158만명에 달하는 회원들의 개인정보 유출 사태를 막지 못한 GS리테일이 약 128억원 규모의 과징금을 부과받게 됐다.</p> <p contents-hash="878d2e196b0c3b221759129f4fc57a1642218d557c77e68e53c90461179c0b3e" dmcf-pid="HPSkZD71kr" dmcf-ptype="general">개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 128억3600만원의 과징금과 300만원의 과태료를 부과했다고 31일 밝혔다. 아울러 재발방지 대책 마련 등 시정명령과 홈페이지에 결과를 공표할 것도 함께 의결했다.</p> <figure class="figure_frm origin_fig" contents-hash="04d5e269d4695c43af2b3209c1394855d4e2102cae69da4d84800907b5766f29" dmcf-pid="XQvE5wztcw" dmcf-ptype="figure"> <p class="link_figure"><img alt="GS리테일 로고. GS리테일" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/31/akn/20260831110243936onoq.jpg" data-org-width="745" dmcf-mid="WO9Fx0gRoO" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/31/akn/20260831110243936onoq.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> GS리테일 로고. GS리테일 </figcaption> </figure> <p contents-hash="6a556f643ae98ca6b4cf986efb0ae79bd7e282554701b59e7a55b8101adeb5c2" dmcf-pid="ZxTD1rqFoD" dmcf-ptype="general">개인정보위 조사에 따르면 해커는 GS리테일이 운영하는 홈쇼핑인 GS샵 홈페이지와 편의점 GS25 홈페이지에 '크리덴셜 스터핑' 방식의 공격을 통해 일부 회원 계정으로 로그인에 성공했다. 크리덴셜 스터핑은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 로그인을 시도하는 공격 방식으로, 이 공격 시 로그인 시도 횟수와 로그인 실패율이 급증한다.</p> <p contents-hash="b918bde78bab1696eb0861a84afd1e101903631e54f12140aeef4078abd6923b" dmcf-pid="5MywtmB3gE" dmcf-ptype="general">이후 해커는 회원정보 수정 페이지에서 접속해 GS샵에서 158만1025명, GS25에서 7만9128명의 개인정보를 각각 유출했다. 유출된 개인정보는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이다.</p> <p contents-hash="38cbe288a25763d8ce74bc5089cf056dac42ae80c71b637e1194acdb55beb8dd" dmcf-pid="1RWrFsb0jk" dmcf-ptype="general">조사 결과 GS리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하더라도 이를 탐지·차단할 수 있는 대책을 마련하지 않았다. 이에 따라 로그인 시도와 실패가 급격하게 증가하는 이상 징후에도 이를 인지하지 못해 유출이 계속됐다. GS리테일은 GS25 홈페이지에서의 유출을 지난해 1월4일 최초로 인지했지만, GS샵 홈페이지에서도 같은 공격이 발생하고 있다는 점을 같은 해 2월에서야 추가 인지했다.</p> <p contents-hash="e5e14d656ee38f70e4ec827393acf69805c823e74ef0a2706d09ed8c24ac6eaa" dmcf-pid="teYm3OKpoc" dmcf-ptype="general">아울러 사고 당시 개인정보 전담조직이 없는데 더해 이원화된 보안 운영 등 개인정보 보호 조직의 구성과 운영이 미흡했던 것으로 나타났다. 여기에 최초 유출통지 이후 조사과정에서 유출 대상자 1599명이 추가 확인됐지만, 정당한 사유 없이 72시간이 지나 유출 통지한 사실도 확인됐다.</p> <p contents-hash="f62e6b60f0879f99a0b86141b33d1ba59977bc50f0f8ce43206442e46981639c" dmcf-pid="FdGs0I9UjA" dmcf-ptype="general">개인정보위는 유사 사고 재발을 막기 위해 비정상 접속을 가려낼 수 있는 보안정책을 적용하는 내용의 재발 방지 대책을 마련하라고 주문했다. 아울러 신속한 사고대응을 위한 개인정보 보호 전담인력 배치, 최고 개인정보 보호책임자(CPO)의 권한과 책임 등 거버넌스 체계를 점검·개선할 것을 시정명령했다.</p> <p contents-hash="eb414e3fdce880347fe93753629ae9b4a004c06845a8c105ff1936b704d79cbc" dmcf-pid="3JHOpC2ugj" dmcf-ptype="general">데이팅 앱 서비스 '위피'를 운영하는 엔라이즈는 과징금 1억1844만원과 과태료 360만원을 부과받았다. 해커는 데이팅 앱 서비스의 본인인증 취약점을 이용해 1만6803개의 휴대전화 번호로 로그인을 시도, 736개 계정의 개인정보를 유출했다. 유출된 정보는 닉네임, 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등이다.</p> <p contents-hash="9c6733483ca976ff48fb3da1b04d3aa77be8d42518a5f426cc560e8577d0e300" dmcf-pid="0iXIUhV7kN" dmcf-ptype="general">조사 결과, 엔라이즈는 앱 내 존재하는 본인인증 취약점에 대한 점검과 조치를 소홀히 한 데 더해 동일 IP에서의 과다 접속에 대한 차단 정책을 설정하지 않았다.</p> <p contents-hash="43494cf1edd7d4682d239d0e0504233008ef136d393dd258866f78aa71fed56c" dmcf-pid="pnZCulfzca" dmcf-ptype="general">SK텔레콤에는 과태료 360만원과 시정명령이, 에이토즈에는 경고 처분이 내려졌다. 에이토즈는 SKT로부터 '이프랜드' 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 운영하는 과정에서 관리자 페이지가 검색엔진에 노출돼 1140명의 개인정보(이름, 휴대전화 번호)가 유출됐다.</p> <p contents-hash="eb574b570adcbba5403f9fac9b34496c3ac4d7559bf8f7646bc6c7ad5754a957" dmcf-pid="UL5h7S4qAg" dmcf-ptype="general">에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않았고, SKT는 24시간이 지나 개인정보 유출 통지를 하고 관련 사실을 신고했다.</p> <p contents-hash="33596531288d7408160f9e0ff503a9eab6c0a18668e6d57c4a1326e6c23d428f" dmcf-pid="uo1lzv8Bgo" dmcf-ptype="general">개인정보위는 "개인정보 처리 시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수해야 한다"면서 "개인정보 유출 사고가 발생할 경우 정보 주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고와 통지를 실시해야 한다"고 강조했다.</p> <p contents-hash="268f26250b8dfcf4951269febd9934d68a996f0359c617d9d52053afaabd6610" dmcf-pid="7gtSqT6baL" dmcf-ptype="general">이명환 기자 lifehwan@asiae.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 아시아경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 개인정보 160여만명 유출…개인정보위, GS리테일 등 3곳에 과징금 129억 08-31 다음 GS리테일, 개인정보 유출로 과징금 128억 3600만원 08-31 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
