개인정보보호위원회는 8월 26일 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 ㈜지에스리테일 등 4개 사업자에 대해 총 129억 5,444만 원의 과징금과 1,020만 원의 과태료를 부과하기로 의결했다.

개인정보위, GS리테일에 과징금 128억 원 부과...안전조치 소홀 책임

이번 결정은 해당 사업자들이 개인정보처리시스템의 접근통제 등 필수적인 안전조치 의무를 소홀히 하여 개인정보 유출 사고를 초래한 데 따른 것이다. 개인정보위는 이들에게 재발방지 대책 마련과 함께 홈페이지를 통한 결과 공표를 명령했다.

가장 큰 규모의 제재를 받은 ㈜지에스리테일은 128억 3,600만 원의 과징금과 300만 원의 과태료를 부과받았다. 이 업체는 해커의 \'크리덴셜 스터핑\' 공격에 무방비로 노출돼 GS SHOP과 GS25 이용자 약 166만 명의 개인정보를 유출했다.

이 날 위원회는 ㈜지에스리테일이 짧은 시간 내 동일 IP에서 발생하는 대규모 로그인 시도를 차단하지 못했고, 이상징후 발생 후에도 대응이 지연되어 유출 피해가 커졌다고 지적했다. 또한 유출 대상자가 추가 확인되었음에도 정당한 사유 없이 법정 통지 기한인 72시간을 넘겨 통지한 사실도 드러났다.

조사 결과, 해당 기업은 개인정보 전담조직이 부재하고 보안 운영이 이원화되는 등 관리 체계에도 허점이 있었다. 이에 개인정보위는 비정상 접속 식별 보안정책 도입과 CPO 책임 강화 등 거버넌스 전반을 개선할 것을 시정명령했다.

다른 사업자에 대한 제재도 이어졌다. ㈜엔라이즈는 본인인증 취약점 방치로 736명의 개인정보가 유출되어 과징금 1억 1,844만 원과 과태료 360만 원을 처분받았다.

에스케이텔레콤㈜은 수탁사 관리 소홀과 유출 통지 지연으로 과태료 360만 원 및 시정명령을 받았다. 위탁사인 ㈜에이토즈는 이벤트 웹사이트 관리자 페이지를 외부에 노출해 1,140명의 개인정보를 유출한 사실이 확인되어 경고 조치되었다.

개인정보위는 이번 처분을 통해 인가받지 않은 접근 제한과 주기적인 취약점 점검 등 기본 원칙 준수를 강조했다. 특히 유출 사고 시 정보주체가 신속히 대응할 수 있도록 법정 기한 내 신고와 통지를 이행할 것을 당부했다.