GS리테일, 동일 수법 재공격 방어 실패…개인정보위 과징금 철퇴

---

개인정보보호위원회가 GS리테일에 과징금과 시정명령을 부과했다. 편의점 GS25 관련 시스템에서 최초 침해 정황을 인지하고도 동일한 공격 패턴의 재공격을 막지 못한 점이 결정적 제재 사유로 작용했다. 이번 처분은 '인지 후 대응 실패'에 대한 규제 당국의 엄격한 기준을 재확인시켜 주는 사례다.

---

사건 개요: 같은 수법에 두 번 뚫렸다

개인정보보호위원회는 최근 심의·의결을 통해 GS리테일에 과징금과 함께 시정명령을 부과했다. 이번 제재의 핵심은 단순한 해킹 피해가 아니라 '방어 가능했던 공격을 막지 못했다'는 점이다.

GS리테일은 GS25 관련 시스템에서 최초 침해 정황을 탐지했음에도 불구하고, 이후 동일한 공격 패턴을 활용한 재공격에 속수무책으로 당했다. 개인정보위는 이를 개인정보보호법상 안전성 확보 조치 의무 위반으로 판단했다.

시정명령에는 이상 접속 탐지 시스템 구축 등 재발 방지를 위한 기술적·관리적 보호조치가 포함됐다.

---

처분 분석: 왜 '재공격 방어 실패'가 중대 위반인가

이번 처분에서 주목할 점은 '인지(認知) 시점'을 기준으로 한 책임 판단이다.

개인정보보호법 제29조(안전조치의무)는 개인정보처리자에게 기술적·관리적·물리적 안전조치를 요구한다. 특히 침해 시도를 인지한 이후에는 동일·유사 공격에 대한 즉각적인 대응이 '합리적으로 기대되는 조치'로 해석된다.

GS리테일의 경우, 첫 번째 공격을 탐지한 시점에서 공격 패턴 분석, 취약점 보완, 모니터링 강화 등의 조치를 취했어야 했다. 그러나 이를 이행하지 않아 동일 수법의 재공격이 성공했고, 이는 명백한 의무 불이행으로 판단됐다.

---

공통 패턴: 반복되는 '탐지 후 방치'의 함정

최근 개인정보 침해사고 제재 사례를 살펴보면, '사전 인지에도 불구한 대응 실패'가 과징금 부과의 결정적 요인으로 작용하는 경향이 뚜렷하다.

• 로그 기록은 있으나 분석하지 않은 경우
• 보안 경고를 수신하고도 후속 조치를 지연한 경우
• 유사 사고 발생 기업의 사례를 인지하고도 자사 점검을 소홀히 한 경우

규제 당국은 이제 단순히 "해킹을 당했느냐"가 아니라 "막을 수 있었느냐"를 핵심 쟁점으로 삼고 있다.

---

기업·기관 대응 방안

이번 사례를 통해 도출할 수 있는 실무 대응 방안은 다음과 같다.

1. 실시간 이상 탐지 체계 고도화
- 로그인 시도, 접근 패턴, 데이터 다운로드 등에 대한 이상 징후 탐지 룰 정교화

2. 침해 인지 후 즉시 대응 프로세스 수립
- 탐지 → 분석 → 차단 → 보고로 이어지는 골든타임 대응 체계 마련

3. 동일·유사 공격 패턴 DB화
- 자사 및 동종 업계 공격 사례를 축적하여 선제 방어에 활용

4. 정기적 모의 침투 테스트 실시
- 알려진 공격 기법에 대한 자사 시스템의 취약점을 사전 점검

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[개인정보보호법 제29조 – 안전조치의무]

>

개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 기술적·관리적·물리적 조치를 하여야 한다.

>

✔️ 시험 포인트: 침해 '시도'를 인지한 시점부터 안전조치 의무의 이행 기대 수준이 높아지며, 동일 수법 재공격 방어 실패는 의무 불이행으로 판단될 수 있다. ISMS-P 인증 기준 중 '침해사고 대응 및 복구(2.11)'와 직접 연계된다.

---

기자 백남정 | namjeong@privacynews.kr