개인정보보호위원회(이하 개인정보위)는 GS리테일·엔라이즈·SK텔레콤 등 3개 사업자에 대해 총 129억5444만원의 과징금 및 1020만원의 과태료를 부과했다.
지난 26일 개인정보위는 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 사업자들에 과태료 등을 부과하는 시정명령을 의결했다고 31일 밝혔다. 이들 사업자 모두 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 해 개인정보가 유출됐다고 지적했다.
개인정보위는 먼저 GS리테일에 과징금 128억3600만 원과 과태료 300만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP과 GS25 홈페이지에 대해 크리덴셜 스터핑(수의 아이디, 비밀번호 정보를 무차별 대입하여 로그인 시도) 공격을 통해 접속해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출한 것이다.
GS리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았다는 점을 지적받았다. 아울러, 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡했다는 점도 주요 지적사항이었다.
GS리테일 관계자는 “GS리테일은 이번 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다”며 “고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다할 것”이라고 말했다.
이와 함께 엔라이즈에는 과징금 1억1844만원과 과태료 360만원을 부과했다. 신원 미상의 해커는 엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용해 1만6803개의 휴대전화번호로 로그인을 시도, 736개 계정의 개인정보를 유출했다.
에이토즈는 SK텔레콤으로부터 '이프랜드' 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 관리자 페이지가 검색엔진에 노출돼 1140명의 개인정보가 유출됐다. 이에 SK텔레콤은 과태로 360만원과 시정명령, 에이토즈는 경고를 받았다.
개인정보위 관계자는 “이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것”이라고 강조했다.
강성전 기자 castlekang@etnews.com
