3줄 요약
1. 12월 27일~1월 4일 사이 발생...이름, 성별, 생년월일, 연락처 등 7개 항목 유출 추정
2. 제로트러스트 보안 체계 도입 중요...피해 최소화와 빠른 복원력 방안에 대해 고민해야
3. 보안전문가, 크리덴셜 스터핑 대응 방법으로 ‘멀티팩터 인증’ 도입 제시

[보안뉴스 김영명 기자] GS 그룹 산하 유통 계열사인 GS리테일이 크리덴셜 스터핑(Credential Stuffing) 공격을 받아 개인정보 유출 사고가 발생했다.


▲GS리테일이 크리덴셜 스터핑 공격을 받아 고객 9만명의 개인정보가 유출됐다고 밝혔다[이미지=보안뉴스]

GS 리테일은 “이번 해킹 공격 방식은 ‘크리덴셜 스터핑’”이라며 “여러 경로를 통해 수집한 계정정보와 비밀번호를 특정 사이트에 접속해 무작위로 대입, 로그인 후 개인정보를 훔치는 수법”이라고 밝혔다.

이번 사고로 인해 유출된 것으로 추정되는 고객의 개인정보는 △이름 △성별 △생년월일 △연락처 △주소 △아이디 △이메일 등 7개 항목이라고 안내했다.

GS리테일은 해킹 사실을 인지한 즉시 공격을 시도하는 IP와 공격 패턴을 차단, 고객의 계정에 더 이상 로그인할 수 없도록 잠금처리했다고 밝혔다. 또한 개인정보가 표시된 페이지를 확인할 수 없도록 임시로 폐쇄했다고 덧붙였다.

이어 2차 피해 방지를 위해 GS리테일은 비밀번호 변경을 당부하며, 개인정보 악용이 의심될 경우 GS25 고객센터 등 담당 부서로 연락할 것을 공지했다.

이번 사고에 대해 GS의 내부 사정을 잘 아는 한 보안전문가는 “GS리테일은 자체적으로 보안을 잘 하고 있는 것으로 안다”면서도 “지난해 GS리테일과 GS홈쇼핑이 합병하면서 시스템 통합과 함께 고도화 작업이 한꺼번에 몰리며 보안이 소홀해진 것 같다”고 말했다.

이어 “크리덴셜 스터핑 공격에 대응하는 가장 기본적인 방법은 꾸준하고 빈틈없는 보안대응 마련”이라며 “최근 해커들은 블랙마켓을 통해 인증정보를 대량으로 구매하기 때문에 로그인이 뜸하던 아이디로 갑자기 로그인을 하는 등 이상행위에 대해 모니터링하는 것이 중요하다”고 덧붙였다.

해당 보안전문가는 “이 같은 사고에 대응하는 방법은 제로트러스트 보안 등에 기반한 복합적인 대응체계를 마련하는 것”이라며 “대응체계가 제대로 갖춰진다면 다양한 보안사고에 조금이나마 피해를 줄일 수 있을 것”이라고 강조했다. 마지막으로 “해킹을 100% 막을 수 없는 만큼 이제는 리스크를 최소화하고, 빠른 복원력에 대해 고민해야 한다”며 “해당 위협으로 부터 피해를 최소화하는 방안에 대해 다각적인 시선으로 바라보는 게 중요하다”고 덧붙였다.

또 다른 한 보안전문가는 “크리덴셜 스터핑 공격 대응책은 MFA(멀티팩터 인증)를 도입하는 것”이라며 “로그인을 시도한 계정 및 패스워드 입력자가 실제 가입자인지 확인하는 것이 바람직하다”고 말했다. 이어 “가장 대표적인 멀티팩터 인증 방법은 1차 비밀번호 입력 이외에 휴대폰 인증 방법”이라고 덧붙였다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>