3줄 요약
1. 타 사이트서 유출 아이디와 비밀번호 악용해 무작위 대입 공격
2. 편의점과 홈쇼핑 웹사이트에서 이름, 성별 등 10개 항목 유출 고객 개인정보 유출
3. 보안업계, 최근 무작위 대입 공격인 크리덴셜 스터핑 급증..기업서 빈번히 발생

[보안뉴스 김경애 기자] GS리테일에서 개인정보가 유출됐다. 유출정보는 홈쇼핑과 편의점 사이트 개인정보로 생년월일, 연락처 등이다. 이용자는 스미싱 등 2차 피해를 입지 않도록 각별한 주의가 필요하다.


▲27일 GS리테일 웹사이트에 공지된 개인정보 유출 안내 화면 [자료: 보안뉴스]

27일 GS리테일에 따르면 지난 1월 타 사이트에서 유출된 아이디와 비밀번호를 악용해 당사 홈페이지에 로그인 시도를 했다. 분석 결과, 당사 편의점 홈페이지에서 일부 고객 개인정보 유출돼 안내 문자를 발송했다.

GS리테일은 모든 인터넷 사이트 최근 1년간 로그(기록)를 추가 분석한 결과, 홈쇼핑 웹사이트에서도 2024년 6월 21일부터 2025년 2월 13일 사이 동일 수법으로 약 158만건 개인정보가 유출됐다.

홈쇼핑 웹사이트 유출 추정 개인정보는 △이름 △성별 △생년월일 △연락처 △주소 △아이디 △이메일 △기혼 여부 △결혼기념일 △개인통관고유부호 등 총 10개 항목이다.

멤버십 포인트 및 결제 수단 등 금융 정보에 대해선 유출되지 않았다는 게 회사 주장이다.

GS리테일은 해당 사실 인지 후 해킹 시도 IP와 공격 패턴을 차단하고, 홈쇼핑 웹사이트 계정에 로그인할 수 없도록 잠금 처리했다. 또한 로그인 시 본인 확인 절차를 강화하는 동시에 해당 고객들께 비밀번호 변경을 권고드리는 안내 메시지를 발송했다.

최근 몇 년 사이 아이디와 비밀번호를 무작위 대입해 공격하는 크리덴셜 스터핑 공격이 급증, 빈번히 발생하고 있다는 게 보안업계 분석이다.

한승연 리니어리티 대표는 “ID를 바꿔가며 로그인 시도해도 계정이 잠기지 않는 서비스는 크리덴셜 스터핑에 취약하다”며 “로그인 테스트를 통해 취약 여부를 확인해야 한다”고 당부했다.

과거에는 공격자가 단일 IP에서 여러 번 로그인 시도를 했지만, 최근엔 봇넷 등을 사용해 여러 IP에서 로그인 시도 방식으로 발전해 탐지가 어려워졌다. 시스템 전체 로그인 시도 및 실패 건수에 대한 통계 분석을 통해 공격을 탐지해야 한다.

염흥열 순천향대 교수는 “기업은 동일 IP에서 일정 수 이상 성공적인 로그인 시도를 탐지하는 등 보안 대책을 강화해야 한다”며 “광범위한 개인정보 유출로 2차 피해가 예상되는 만큼, 이용자는 비밀번호 변경 등 조치가 긴급히 필요하다”고 강조했다.

기업 역시 정보보호를 위한 조직적, 물리적, 인원적, 기술적 보호조치 고도화와 보안 투자, 보안 전문인력 확충 등의 조치를 해야 한다는 게 전문가들 충고다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>