GS리테일 개인정보 유출, 도대체 어떻게 된 거야?
솔직히 이 뉴스 보고 좀 놀랐습니다. GS리테일 때문에 내 개인정보도 털렸을 수 있겠다 싶어서요. GS샵이나 GS25 회원이라면 한번쯤은 불안했을 것 같은데요.
개인정보보호위원회는 지난 8월 26일 전체회의를 열고, GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했습니다. 그리고 사업자 홈페이지에 처분 사실을 공표하라는 명령도 함께 내렸는데요.
피해를 입은 이용자 수는 GS샵 회원 158만1025명, GS25 회원 7만9128명으로 합산하면 총 166만153명에 달합니다. 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 민감한 정보들이 통째로 새어나갔습니다.
GS리테일 해킹 방식, '크리덴셜 스터핑'이란?
이번 사고의 핵심은 '크리덴셜 스터핑'이라는 공격 기법이었는데요. 쉽게 말해, 어딘가에서 미리 확보한 아이디·비밀번호 조합을 여러 사이트에 무차별 대입해 로그인을 시도하는 방식입니다.
해커는 GS샵 홈페이지를 상대로 2024년 6월 21일부터 2025년 2월 13일까지 약 8개월 동안 공격을 이어갔습니다. GS25는 2024년 12월 26일부터 2025년 1월 4일까지 공격을 받았고요. 로그인에 성공하면 회원정보 수정 페이지에 접근해서 개인정보를 빼갔다고 합니다.
근데 문제는 GS리테일 측이 이걸 오랫동안 몰랐다는 거거든요. 같은 IP에서 짧은 시간 안에 대규모 로그인 시도가 반복되는 이상징후가 분명히 있었는데, 탐지·차단 체계가 없었던 겁니다.
GS리테일 사고 대응, 어디서부터 잘못된 건가
더 황당한 건 사고 이후 대응이었는데요. 회사는 2025년 1월 4일 GS25의 개인정보 유출 사실을 처음 확인했습니다. 그런데 GS샵에서도 똑같은 방식의 공격이 진행되고 있다는 걸 알아챈 건 한 달이 지난 뒤였습니다.
이 때문에 GS25 사고를 인지한 이후에도 GS샵에서는 2025년 2월 13일까지 유출이 계속됐다는 게 개인정보위 조사 결과입니다. GS25 공격에 쓰인 IP 중 327개가 GS샵 공격에도 그대로 사용됐음에도 연결하지 못한 거죠.
| GS샵 | 2024.06.21 ~ 2025.02.13 (약 8개월) | 158만1025명 |
| GS25 | 2024.12.26 ~ 2025.01.04 (약 10일) | 7만9128명 |
| 합계 | - | 166만153명 |
위 표를 보면 GS샵의 공격 기간이 무려 8개월에 달한다는 게 충격적입니다. 이렇게 긴 시간 동안 이상 접속이 이어졌는데도 제대로 감지하지 못한 건, 솔직히 이해하기 어렵더라고요.
GS리테일 조직 구조 문제도 지적받아
개인정보위는 조직 운영상의 문제도 함께 지적했는데요. 사고 당시 개인정보 전담조직이 별도로 존재하지 않았고, 보안 운영도 이원화돼 있었다고 합니다. 제가 생각해도 이게 기업 규모에 비하면 너무 허술한 구조 아닌가 싶습니다.
게다가 최초 유출 통지 이후 조사 과정에서 추가 피해자 1599명이 더 확인됐는데, 법정 기한인 72시간을 넘겨 통보한 사실도 드러났습니다. 법도 어기고, 대응도 늦고, 진짜 총체적 부실이라는 말이 딱 맞더라고요.
| 기술적 허점 | 이상 접속 탐지·차단 체계 미비 |
| 대응 지연 | GS25 사고 인지 후 GS샵 동일 공격 한 달간 미파악 |
| 조직 문제 | 개인정보 전담조직 부재, 이원화된 보안 운영 |
| 통지 위반 | 추가 피해자 1599명에 72시간 초과 통보 |
위 표에서 보듯이 기술, 조직, 법적 의무 이행 등 여러 측면에서 동시에 문제가 드러났습니다. 어느 하나만 잘 갖춰졌어도 피해를 줄일 수 있었을 텐데 아쉽습니다.
개인정보위 시정명령, GS리테일 앞으로 어떻게 해야 하나
개인정보위는 GS리테일에 다음과 같은 재발방지 대책을 마련하도록 시정명령을 내렸습니다. 서비스 접속량과 이용 패턴을 분석해 비정상 접속을 식별하는 보안정책을 갖추고, 개인정보 보호 전담인력을 별도로 배치해야 합니다.
또한 개인정보보호책임자(CPO)의 권한과 책임을 명확하게 규정하는 등 내부 거버넌스 체계 전반을 점검·개선하라는 명령도 포함됐습니다. 한편 이날 GS리테일은 공식 입장을 내고 사과의 뜻을 밝혔는데요. "이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한 번 사과드린다"고 했습니다.
주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 대응 체계를 강화했다고도 밝혔는데, 이제라도 제대로 바뀌길 바랄 수밖에 없습니다. 이번 사안이 GS리테일만의 문제가 아니라 기업 전반의 개인정보 보호 수준을 점검하는 계기가 됐으면 합니다.