 |
| (사진제공=GS리테일) |
[아시아뉴스통신=장하영 기자] 개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 8월 26일(수) 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 ㈜지에스리테일 및 3개 사업자에 대해 총 129억 5,444만 원의 과징금 및 1,020만 원의 과태료를 부과하고, 재발방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결하였다.
이들 사업자는 모두 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 하여 개인정보가 유출되었으며, 구체적인 위반 내용과 처분 결과는 다음과 같다.
< ㈜지에스리테일: 과징금 128억 3,600만 원, 과태료 300만 원 부과 및 시정명령, 공표 명령 >
신원 미상의 해커는 ㈜지에스리테일이 운영하는 GS SHOP 홈페이지에 대해 2024.6.21. ~ 2025.2.13. 동안, GS25 홈페이지에 대해 2024.12.26. ~ 2025.1.4. 동안 ‘크리덴셜 스터핑(Credential Stuffing)’ 공격을 시도하여 로그인에 성공하였고, 이후 회원정보 수정 페이지에서 접속하여 GS SHOP에서 1,581,025명, GS25에서 79,128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출하였다.
㈜지에스리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생하였음에도 이를 인지하지 못하여 장기간 유출이 지속되었다.
또한, ㈜지에스리테일은 GS25 홈페이지에서의 유출을 2025. 1. 4. 최초 인지하였으나, 유출사고 대응에 소홀하여 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 2025년 2월이 되어서야 추가 인지하여 최초 유출 인지 이후에도 개인정보가 지속적으로 유출(2025.1.4.~2.13.)되었다.
 |
| (사진제공=GS리테일) |
아울러, 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡하였고, 최초 유출통지 이후 조사과정에서 유출 대상자 1,599명이 추가 확인되었으나, 정당한 사유 없이 72시간을 경과하여 유출 통지한 사실도 확인되었다.
이에 개인정보위는 ㈜지에스리테일에 과징금 128억 3,600만 원과 과태료 300만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.
아울러 개인정보위는 유사 사고 재발을 막기 위해 서비스 접속량·패턴을 분석하여 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하고, 신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 CPO의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령하였다.
< ㈜엔라이즈 : 과징금 1억 1,844만 원, 과태료 360만 원 >
신원 미상의 해커는 ㈜엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용하여 2023.3.23. ~ 3.27. 동안 16,803개의 휴대전화번호로 로그인을 시도, 736개 계정의 개인정보를 유출하였다.
조사 결과, ㈜엔라이즈는 앱 내 존재하는 본인인증 취약점에 대한 점검·조치를 소홀히 하였고, 동일 IP에서의 과다 접속에 대한 차단 정책을 설정하지 않는 등 안전성 확보조치 의무 위반이 확인되었다.
 |
| (사진제공=SKT) |
< 에스케이텔레콤㈜ : 과태료 360만 원, 시정명령 / ㈜에이토즈 : 경고 >
㈜에이토즈는 에스케이텔레콤㈜으로부터 ‘이프랜드’ 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 2022.11.21. ~ 2023.1.3. 동안 관리자 페이지가 검색엔진에 노출되어 이를 통해 1,140명의 개인정보(이름, 휴대전화번호)가 유출되었다.
조사 결과, ㈜에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않았으며, 에스케이텔레콤㈜은 24시간*을 경과하여 개인정보 유출통지·신고한 사실이 확인되었다.
개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 다시 한번 강조했다. 또한, 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부했다.
