GS리테일 개인정보 166만 명 유출… GS SHOP·GS25에서 대규모 개인정보 유출
해커는 다른 곳에서 유출된 아이디·비밀번호를 이용… 크리덴셜 스터핑 공격과 보안 대응 미흡이 피해 키워
이번 사건은 이미 노출된 계정 정보를 다른 사이트에 무작위로 대입하는 ‘크리덴셜 스터핑’ 공격에 의한 것으로, 기업의 미흡한 차단 체계와 이용자의 동일 비밀번호 재사용 관행이 결합해 피해를 키웠다는 분석이다.
개인정보위는 지난 26일 전체회의를 통해 GS리테일에 과징금 128억 3,600만 원과
과태료 300만 원을 부과하고 시정명령을 내렸다.
유출 규모는 GS SHOP 158만여 명,
GS25 7만 9,000여 명 등 총 166만 명에 달하며 이름, 연락처, 주소 등이 포함됐다.
해커들은 2024년 6월부터 올해 2월까지 장기간 로그인 시도를 반복하며 정보를
탈취한 것으로 드러났다.
특히 GS리테일의 미온적 대처가 추가 피해를 방조했다는 비판을 받고 있다.
대규모 비정상 로그인을 탐지·차단하는 시스템이 전무했고, 지난 1월 GS25에서
공격을 인지하고도 동일한 IP가 사용된 GS SHOP의 추가 공격을 막지 못했다. 전담
보안 조직 부재와 운영 이원화로 신속한 공조가 어려웠던 탓이다. 추가 유출자 통지
역시 법정 기한인 72시간을 넘겨 지연 처리됐다.
이번 사태는 비밀번호 재사용이 개별 기업의 보안망을 넘어 연쇄적인 정보 유출로
확산할 수 있음을 경고한다. 개인정보위는 GS리테일에 CPO 책임 명확화 등 체계
개선을 명령했다.
업계 전문가는 “소비자 역시 사이트별 비밀번호를 다르게 설정하고
2단계 인증을 활성화하는 등 주도적인 계정 관리에 나서야 한다”고 강조했다.