홈쇼핑 고객 정보 160만 건 털렸다...128억 과징금

[앵커]
홈쇼핑을 운영하는 GS리테일의 고객 정보 160만 건이 유출돼 백억 대 과징금이 부과됐습니다.

조사 결과 GS리테일은 해킹 방어는 물론 피해 사실을 제때 알리지도 않은 것으로 드러났습니다.

김진두 기자입니다.

[기자]
해커들은 GS리테일 홈쇼핑 사이트를 먼저 겨냥했습니다.

사용된 수법은 이른바 '크리덴셜 스터핑(Credential Stuffing)' 이미 다른 곳에서 확보한 사용자들의 아이디와 비밀번호 목록을 무작위로 계속 대입하는 수법입니다.

대부분의 인터넷 사용자들이 같은 아이디와 비밀번호를 돌려 사용하는 걸 노린 건데, 로그인에 성공하면 회원정보 수정 페이지에 접속해 GS SHOP 백오십팔만여 명, GS25 칠만구천여 명의 개인정보를 훔쳐냈습니다.

하지만 GS리테일 측의 보안 대책은 허술하기 짝이 없었습니다.

이상한 로그인 시도가 반복되는데도, 이를 탐지하거나 차단하는 기본 시스템조차 갖추지 않았습니다.

[송경희 / 개인정보보호위원회 위원장 : 위원회 조사 결과 GS리테일은 이상 행위 탐지 대응과 같은 홈페이지에 대한 접근 통제 조치를 소홀히 하였습니다. 또한 위원회는 조사 과정에서 정당한 사유 없이 GS25 이용자 일부에게 유출 통지를 지연한 사실도 확인하였습니다.]

개인정보위는 안전 조치 의무 위반과 통지 지연의 책임을 물어 GS리테일에 과징금 128억여 원과 과태료를 부과했습니다.

이와 함께 취약했던 접근 통제 시스템을 즉시 강화하고 전사적인 보호 관리체계를 개선하도록 시정명령을 내렸습니다.

YTN 김진두입니다.

YTN 김진두 (jdkim@ytn.co.kr)