'128억 과징금' GS리테일, 개인정보 유출 사과 "보안 체계 강화"

166만여명 개인정보 유출
정보보안대책위원회 구성
내부 관리체계 전면 정비

GS리테일이 166만여명의 개인정보 유출 사고로 128억원대 과징금을 부과받은 데 대해 사과하고 보안 체계 강화와 재발 방지를 약속했다.

GS리테일은 31일 "이번 개인정보 유출 사고로 심려를 끼쳐드린 점에 대해 다시 한번 사과드린다"며 "사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다"고 밝혔다.

GS리테일은 주요 임원과 외부 전문가가 참여하는 '정보보안대책위원회'를 구성해 보안 대응 체계를 고도화했다고 설명했다. 개인정보 보호를 전사 차원의 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비도 진행하고 있다. GS리테일은 "앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다하겠다"고 말했다.

앞서 개인정보보호위원회는 지난 26일 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 시정명령과 공표 명령을 내렸다.

개인정보위 조사에 따르면 해커는 다른 경로에서 확보한 아이디와 비밀번호를 대입하는 '크리덴셜 스터핑' 방식으로 GS샵과 GS25 회원 166만여 명의 개인정보를 빼냈다. 이름과 생년월일, 연락처, 주소, 이메일 등이 유출됐다.

개인정보위는 GS리테일이 동일한 인터넷주소(IP)에서 반복된 대규모 로그인 시도 등 이상 징후를 제때 탐지·차단하지 못했다고 판단했다. 지난해 1월 GS25의 유출을 인지한 뒤에도 GS샵에서 같은 공격이 이어진 사실을 한 달여 뒤에야 파악했다. 개인정보 전담 조직이 없고 일부 피해자에게 법정 기한인 72시간을 넘겨 유출 사실을 통지한 점도 지적됐다.

개인정보위는 GS리테일에 접속량과 접속 패턴을 분석해 비정상적인 접근을 식별하는 보안 정책을 마련하도록 명령했다. 개인정보 보호 전담 인력을 배치하고 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 정보보호 거버넌스 전반도 개선하도록 했다.

임혜선 기자 lhsro@asiae.co.kr