166만명 개인정보 유출한 GS리테일, 128억원 과징금 제재 작성일 08-31 25 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">개인정보보호위, 해킹 징후 파악 못한 책임 물어 <br>GS SHOP 158만명·GS25 7만9천명 유출</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="xPkWwJGhAC"> <p contents-hash="748d56cb49da54946e4f3b869e4cac440f7f84d666b9e0e0459217666a3d4d4d" dmcf-pid="yv7MBXe4aI" dmcf-ptype="general"> [파이낸셜뉴스] 해커가 동일한 IP주소에서 대규모 로그인 시도를 하는 등 보안상 이상 징후가 발생했는데도, 이를 파악하지 못해 166만여명의 개인정보를 유출한 GS리테일이 개인정보보호위원회로부터 128억원의 과징금 제재를 받았다. </p> <p contents-hash="1cd7572eb5ce87404bdf2083c2ce487f9f302259594c608285ee3409dc797347" dmcf-pid="WTzRbZd8NO" dmcf-ptype="general">소비자의 개인정보를 수집·관리하는 기업이 보안 이상 징후를 즉시 파악하고 대응할 수 있는 사전 안전조치를 소홀히 했다는게 개인정보보호위의 판단이다. </p> <p contents-hash="a167cdec1b59cd04587b0fb5084bab440a8ef2c1a1d622f0f96dc8ccaba1ddc1" dmcf-pid="YyqeK5J6ks" dmcf-ptype="general">개인정보보호위원회는 지난 26일 전체회의를 열어 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 31일 밝혔다. </p> <p contents-hash="64ebee00595d0e15d1e8a342242bda880d1a392f2994b0c7cd5c07f8e240deaf" dmcf-pid="GWBd91iPam" dmcf-ptype="general">개인정보보호위 조사 결과 해커는 '크리덴셜 스터핑' 공격수법을 이용해 GS리테일이 운영하는 GS SHOP 홈페이지에 2024년 6월 21일부터 지난해 2월 13일까지, GS25 홈페이지에 2024년 12월 26일부터 지난해 1월 4일까지 해킹을 시도해 로그인에 성공했다. 로그인에 성공한 해커는 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명의 이름과 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 빼냈다. </p> <figure class="figure_frm origin_fig" contents-hash="a8e3aa86046717cd983da88b831d581e9609e64fa20ce31bbf9b302e13ec9bf1" dmcf-pid="HX2L40gRAr" dmcf-ptype="figure"> <p class="link_figure"><img alt="해커가 동일한 IP주소에서 대규모 로그인 시도를 하는 등 보안상 이상 징후가 발생했는데도, 이를 파악하지 못해 166만여명의 개인정보를 유출한 GS리테일이 개인정보보호위원회로부터 128억원의 과징금 제재를 받았다. GS리테일 CI. (GS리테일 제공)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/31/fnnewsi/20260831121643436mmfo.jpg" data-org-width="600" dmcf-mid="PkZ9thV7Al" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/31/fnnewsi/20260831121643436mmfo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 해커가 동일한 IP주소에서 대규모 로그인 시도를 하는 등 보안상 이상 징후가 발생했는데도, 이를 파악하지 못해 166만여명의 개인정보를 유출한 GS리테일이 개인정보보호위원회로부터 128억원의 과징금 제재를 받았다. GS리테일 CI. (GS리테일 제공) </figcaption> </figure> <div contents-hash="9fa7eb32b34a7a833eb1278a3b845d205059b8126d62c268a09385816ffd6766" dmcf-pid="XZVo8paegw" dmcf-ptype="general"> <br>'크리덴셜 스터핑'은 사전에 확보한 다수의 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 공격 방식이다. </div> <p contents-hash="98580a493bceae65509f6a32744232762fb3679092e32c2f940e7d6d7a0b4f94" dmcf-pid="Z5fg6UNdND" dmcf-ptype="general">해커의 공격이 1년 이상 지속됐지만, GS리테일은 짧은 시간 동안 동일한 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단할 수 있는 대책이 없었던 것으로 드러났다. </p> <p contents-hash="467c0a056a2477c504a98f868a10d551124f362e3e9a22fe5f34d88cbd4fedd6" dmcf-pid="514aPujJAE" dmcf-ptype="general">특히 GS리테일은 지난해 1월 GS25 홈페이지의 개인정보 유출 사실을 알았으면서도 별다른 조치를 취하지 않아 GS SHOP에서도 동일한 공격이 발생하고 있다는 사실을 한 달 뒤에나 파악하는 등 보안시스템에 소홀했던 것으로 확인됐다. </p> <p contents-hash="3cd6edccc1f28364c849a7af47d4a39ca745424fba99c5b2fa386c8cf083b1a5" dmcf-pid="1t8NQ7Aiak" dmcf-ptype="general">로그인 시도와 로그인 실패가 급격하게 증가하는 이상 징후가 발생했는데도 개인정보를 관리하는 기업이 이를 인지하지 못하면서 장기간 개인정보 유출이 이어진 것이다. GS25 공격에 사용된 IP 가운데 327개는 GS SHOP 공격에도 동일하게 사용됐지만 추가 유출을 막지 못했다. </p> <p contents-hash="eb14f26520b089b34dc0ef679d8f3ac202aecc636685b4b48bc6e1024606cae1" dmcf-pid="tF6jxzcnjc" dmcf-ptype="general">개인정보보호위는 "사고 당시 개인정보 전담 조직이 없고 보안 운영이 이원화되는 등 개인정보 보호 조직의 구성·운영도 미흡했던 것으로 조사됐다"며 "더구나 최초 유출 통지 이후 개인정보위 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, GS리테일은 정당한 사유 없이 72시간이 지나 이들에게 유출 사실을 통지했다"고 지적했다. </p> <figure class="figure_frm origin_fig" contents-hash="73363dc11961cfc078a4df64ed85c6f62cb94e1bb49a1aa4e215f1088a581a8f" dmcf-pid="F3PAMqkLaA" dmcf-ptype="figure"> <p class="link_figure"><img alt="개인정보보호위는 GS리테일에 과징금과 과태료를 부과하는 한편 회사 홈페이지에 처분받은 사실을 공표하도록 명령했다. 또 비정상 접속을 식별할 수 있는 보안정책 등 구체적인 재발 방지 대책을 마련하고, 개인정보 보호 전담인력 배치와 개인정보보호책임자(CPO)의 권한·책임 명확화 등 개인정보 보호 거버넌스 체계 전반을 점검·개선하도록 시정명령했다.송경희 개인정보보호위원회 위원장 /사진=뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/31/fnnewsi/20260831121643613tqfw.jpg" data-org-width="800" dmcf-mid="QRTuYwztAh" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/31/fnnewsi/20260831121643613tqfw.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 개인정보보호위는 GS리테일에 과징금과 과태료를 부과하는 한편 회사 홈페이지에 처분받은 사실을 공표하도록 명령했다. 또 비정상 접속을 식별할 수 있는 보안정책 등 구체적인 재발 방지 대책을 마련하고, 개인정보 보호 전담인력 배치와 개인정보보호책임자(CPO)의 권한·책임 명확화 등 개인정보 보호 거버넌스 체계 전반을 점검·개선하도록 시정명령했다.송경희 개인정보보호위원회 위원장 /사진=뉴스1 </figcaption> </figure> <div contents-hash="0bd6ab8795e70ddbdcc43addea124d82c258048d9e1f713dd9f3c90eedfa1a77" dmcf-pid="30QcRBEokj" dmcf-ptype="general"> <br>이에따라 개인정보보호위는 GS리테일에 과징금과 과태료를 부과하는 한편 회사 홈페이지에 처분받은 사실을 공표하도록 명령했다. 또 비정상 접속을 식별할 수 있는 보안정책 등 구체적인 재발 방지 대책을 마련하고, 개인정보 보호 전담인력 배치와 개인정보보호책임자(CPO)의 권한·책임 명확화 등 개인정보 보호 거버넌스 체계 전반을 점검·개선하도록 시정명령했다. </div> <p contents-hash="aa5f1aaa86b82291c8e323d688d0c02013a953caee7f42b0f9597f105940554d" dmcf-pid="0pxkebDgAN" dmcf-ptype="general">이에 대해 GS리테일은 "개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "개인정보 유출 사고 이후 GS리테일은 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화하는 한편 주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 고도화했다"고 최근의 보안 시스템 강화 노력에 대해 설명했다. </p> <p contents-hash="40a02e12c87ed4ac64113474482740c0df42ec3758ce409faedb9e4ba9fcf88d" dmcf-pid="pUMEdKwaga" dmcf-ptype="general">그러면서 "고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있으며, 앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다할 것"이라고 강조했다. </p> <p contents-hash="b1ff746292995ecdaa44cd97fc2c42d997503979a34680047fa3283ddbaf3e8d" dmcf-pid="UuRDJ9rNag" dmcf-ptype="general">한편 개인정보보호위는 엔라이즈와 SK텔레콤, 에이토즈에도 과징금·과태료 부과, 시정명령 등의 처분을 내렸다. </p> <p contents-hash="dab1439014d8110ca2019260dacc3f1dda98d0cabb7dc7371b5dba5cff97e37a" dmcf-pid="u7ewi2mjco" dmcf-ptype="general">데이팅 앱 '위피'를 운영하는 엔라이즈의 경우 해커가 2023년 3월 1만6천803개의 휴대전화번호로 로그인을 시도했고, 이 가운데 736개 계정의 닉네임·성별·프로필 사진·생년월일·학력·직업 등 개인정보가 유출됐다. </p> <p contents-hash="b1cbc7065bece549a8e1dd1a325ede20bb4e3a59583b00f2a89e74ee0eec94e0" dmcf-pid="7zdrnVsANL" dmcf-ptype="general">엔라이즈는 본인인증 취약점에 대한 점검·조치를 소홀히 하고 동일 IP에서의 과다 접속을 차단하는 정책도 설정하지 않은 것으로 나타났다. </p> <p contents-hash="a375ec17c3b5a0ecfdc023bdd000a8a0905069cfe9fa9ab1568ffe6b6177b583" dmcf-pid="zqJmLfOckn" dmcf-ptype="general">이에 대해 개인정보보호위는 엔라이즈에 과징금 1억1천844만원과 과태료 360만원을 부과했다. </p> <p contents-hash="68bf2957319fac5c05870e6c22c19a029c92c44e8f0dbe685e7b45c1d4453c0c" dmcf-pid="qBiso4Ikci" dmcf-ptype="general">SK텔레콤이 에이토즈에 위탁해 운영한 메타버스 서비스 '이프랜드' 이벤트 웹사이트에서는 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 이동전화번호가 유출됐다. </p> <p contents-hash="32f919f37be189c2db4ede66507ef39fed8fb9dec9438219f00950bcbadaffb0" dmcf-pid="BcYqXsb0aJ" dmcf-ptype="general">에이토즈는 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 하지 않았고, SK텔레콤은 개인정보 유출 사실을 인지한 뒤 당시 법정 기한인 24시간을 넘겨 유출 사실을 통지·신고한 것으로 확인됐다. </p> <p contents-hash="a3b77024e911ce14e7a1acdfb75212eebf52678ca9ee0c9248a68eb0bde439ff" dmcf-pid="bkGBZOKpcd" dmcf-ptype="general">개인정보위는 SK텔레콤에 과태료 360만원과 시정명령을 내리고 에이토즈에는 경고 처분했다.</p> <p contents-hash="0e5ff3892a3ffecfcfb81f95db4cf66c22402b3d8c0293cf15dc90d07ec8074f" dmcf-pid="KEHb5I9Uje" dmcf-ptype="general">cafe9@fnnews.com 이구순 기자</p> </section> </div> <p class="" data-translation="true">Copyright © 파이낸셜뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 발사는 끝났다…로먼 우주망원경, 이제 90일 ‘우주의 눈’ 연다 08-31 다음 “연간 1만여척 선박 입항 빨라진다”…선박 검역 ‘감염병 위험도 중심’으로 전환 08-31 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
