개인정보보호위원회가 보안 조치 소홀로 대규모 고객 정보 유출 사고를 낸 GS리테일 등 4개 사업자에게 총 129억 5444만원의 과징금과 1020만원의 과태료를 부과했다. 이중 피해자 규모가 제일 큰 GS리테일은 역대급 규모인 128억3600만원의 과징금이 매겨졌다.

개인정보위는 송경희 개인정보보호위원회 위원장 주재로 제17회 전체회의를 열고 이같이 의결했다고 31일 밝혔다. 이번 제재 대상에 오른 사업자는 GS리테일, 엔라이즈, SK텔레콤, 에이토즈 등 총 4곳이다.

가장 무거운 처분을 받은 GS리테일은 사전에 확보한 다수의 아이디와 비밀번호를 무차별 대입하는 ‘크리덴셜 스터핑(Credential Stuffing)’ 공격에 당했다. 이로 인해 GS SHOP과 GS25 홈페이지에서 총 166만153명(GS SHOP 158만1025명, GS25 7만9128명)의 개인정보가 유출됐다.

조사 결과, GS리테일은 짧은 시간 동일 IP 주소에서 대규모 로그인이 시도되는 이상징후가 발생했음에도 이를 식별하고 차단할 대책을 전혀 마련하지 않아 장기간 유출이 지속됐다. 또, GS25 홈페이지에서의 유출을 최초 인지한 후에도 미온적인 사고 대응으로 GS SHOP에서 동일한 공격이 진행 중인 사실을 한 달 뒤에야 파악하는 등 사고대응 부실을 드러냈다.

사고 당시 개인정보 전담 조직조차 제대로 운영되지 않은 점과 유출 대상자 확인 후 정당한 사유 없이 72시간을 넘겨 지연 통지한 사실도 추가로 적발됐다. 이에 개인정보위는 GS리테일에 128억3600만원의 과징금과 과태료 300만원을 부과하고, 신속한 사고 대응을 위한 개인정보 보호 전담 인력 배치 등의 시정명령 및 공표 조치했다.

이 밖에 데이팅 앱을 운영하는 엔라이즈는 앱 내 본인인증 취약점을 그대로 방치해 1만6803개의 휴대전화 번호로 로그인 공격을 받았고, 736개 계정의 민감한 프로필 정보가 유출돼 과징금 1억1844만원과 과태료 360만원 처분을 받았다.

메타버스 플랫폼 ‘이프랜드’ 이벤트를 운영한 위탁사 에이토즈는 웹사이트 관리자 페이지가 구글 등 검색엔진에 노출돼 1140명의 개인정보가 새어 나갔다. 개인정보위는 수탁사 관리 감독을 소홀히 하고 24시간 내 신고 의무를 위반한 위탁사 SK텔레콤에 과태료 360만원과 시정명령을, 에이토즈에 경고 조치를 내렸다.

개인정보위는 이번 처분을 통해 인가받지 않은 접근 제한과 주기적인 취약점 점검 등 기본적 안전조치 준수를 재차 강조하고, 유출 사고 발생 시 정보주체가 신속히 인지해 2차 피해를 막을 수 있도록 72시간 내 통지 의무를 엄격히 지킬 것을 당부했다.  

출처 : 보안뉴스(https://www.boannews.com)