개인정보 보호위원회

- 유출사고 예방을 위한 구체적인 재발방지 대책 마련 및 개인정보 보호 조직 구성·운영 전반을 점검·개선할 것 시정명령

- 그 외 3개 사업자 대상 과징금, 과태료, 시정명령 등 부과

  개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 8월 26일(수) 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 ㈜지에스리테일* 및 3개 사업자**에 대해

총 129억 5,444만 원의 과징금 및 1,020만 원의 과태료를 부과하고, 재발방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결하였다.

   * GS25(편의점), GS SHOP(홈쇼핑), GS THE FRESH(슈퍼마켓) 등의 서비스 운영

  ** ①㈜엔라이즈(데이팅 앱 운영 등 서비스 제공), ②에스케이텔레콤㈜(메타버스 서비스 제공), ③㈜에이토즈(온라인 마케팅 서비스 제공)

  이들 사업자는 모두 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 하여 개인정보가 유출되었으며, 구체적인 위반 내용과 처분 결과는 다음과 같다.

< ㈜지에스리테일: 과징금 128억 3,600만 원, 과태료 300만 원 부과 및 시정명령, 공표 명령 >

  신원 미상의 해커는 ㈜지에스리테일이 운영하는 GS SHOP 홈페이지에 대해 2024.6.21. ~ 2025.2.13. 동안, GS25 홈페이지에 대해 2024.12.26. ~ 2025.1.4. 동안 ‘크리덴셜 스터핑*(Credential Stuffing)’

공격을 시도하여 로그인에 성공하였고, 이후 회원정보 수정 페이지에서 접속하여 GS SHOP에서 1,581,025명, GS25에서 79,128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출하였다.

  * 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입하여 접속(로그인)을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보임

  ㈜지에스리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격하게 증가하는

이상징후가 발생하였음에도 이를 인지하지 못하여 장기간 유출이 지속되었다.

  또한, ㈜지에스리테일은 GS25 홈페이지에서의 유출을 2025. 1. 4. 최초 인지하였으나, 유출사고 대응에 소홀하여 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있던 사실을

2025년 2월이 되어서야 추가 인지하여 최초 유출 인지 이후에도 개인정보가 지속적으로 유출(2025.1.4.~2.13.)되었다.

  ※ GS25 공격 IP 일부(327개)가 GS SHOP 공격에서도 동일하게 사용

  아울러, 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡하였고, 최초 유출통지 이후 조사과정에서 유출 대상자 1,599명이 추가 확인되었으나,

정당한 사유 없이 72시간을 경과하여 유출 통지한 사실도 확인되었다.

  이에 개인정보위는 ㈜지에스리테일에 과징금 128억 3,600만 원과 과태료 300만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.

  아울러 개인정보위는 유사 사고 재발을 막기 위해 서비스 접속량·패턴을 분석하여 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하고,

신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 CPO의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령하였다.

< ㈜엔라이즈 : 과징금 1억 1,844만 원, 과태료 360만 원 >

  신원 미상의 해커는 ㈜엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용하여 2023.3.23. ~ 3.27. 동안 16,803개의 휴대전화번호로 로그인을 시도,

736개 계정의 개인정보*를 유출하였다.

   * 닉네임, 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등

  조사 결과, ㈜엔라이즈는 앱 내 존재하는 본인인증 취약점에 대한 점검·조치를 소홀히 하였고, 동일 IP에서의 과다 접속에 대한 차단 정책을 설정하지 않는 등 안전성 확보조치 의무 위반이 확인되었다.

< 에스케이텔레콤㈜ : 과태료 360만 원, 시정명령 / ㈜에이토즈 : 경고 >

  ㈜에이토즈는 에스케이텔레콤㈜으로부터 ‘이프랜드’ 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 2022.11.21. ~ 2023.1.3. 동안

관리자 페이지가 검색엔진에 노출되어 이를 통해 1,140명의 개인정보(이름, 휴대전화번호)가 유출되었다.

  조사 결과, ㈜에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않았으며, 에스케이텔레콤㈜은 24시간*을 경과하여 개인정보 유출통지·신고한 사실이 확인되었다.

   * (구) 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행) 적용 사건으로, 정보통신서비스 제공자는 개인정보 유출 인지 후 24시간 이내 유출 통지·신고하여야 함

  개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 다시 한번 강조했다.

또한, 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부했다.