최초입력 2025.01.06 16:21:08
지난 4일까지 ‘크리덴셜 스터핑’ 공격받아
GS리테일이 지난달 27일부터 이달 4일까지 이뤄진 웹사이트 해킹 공격으로 고객 9만여명의 개인정보가 유출됐다고 6일 밝혔다.
유출된 것으로 추정되는 개인정보는 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일 등 7개 항목이다.
GS리테일은 지난 3일 해킹 공격 사실을 인지한 후 해킹을 시도하는 IP를 차단하고, 고객 계정에 로그인할 수 없도록 잠금처리했다고 밝혔다. 또 개인정보가 표시된 페이지를 확인할 수 없도록 임시로 폐쇄했다.
이번에 확인된 해킹 수법은 여러 경로로 수집한 계정과 비밀정보 등을 무작위로 대입해 로그인한 후 개인정보를 훔치는 ‘크리덴셜 스터핑(Credential Stuffing)’이라고 GS리테일은 설명했다.
고객 아이디와 비밀정보 등은 다크웹에서 대량으로 거래되는 것으로 알려졌다. 이를 통해 해커가 웹사이트에서 로그인이 되는 계정을 알아내 개인정보를 빼돌리는 방식이다.
GS리테일은 2차 피해를 막기 위해 즉시 비밀번호를 바꾸고, 개인정보를 악용한 것으로 의심되는 전화나 이메일을 받을 경우 신고해달라고 당부했다.
개인정보보호위원회는 개인정보 유출 사건이 발생하면 사건을 인지한 순간부터 72시간 내에 위원회 또는 전문기관에 신고하도록 하고 있다. GS리테일은 개인정보위와 한국인터넷진흥원(KISA)에 신고했다. 당국은 사안을 조사한 뒤 수사의뢰 등의 조치를 결정할 예정이다.
[ⓒ 매일경제 & mk.co.kr, 무단 전재, 재배포 및 AI학습 이용 금지]