[팩트체크] GS리테일 개인정보 유출 대상 9만명 외 더 있다?

'개인정보 유출' 9만 명 이어 33만 명 추가 안내받아…"나도 털렸나?"
고객 혼란 가중…팩트는 "해커 로그인은 있었으나 개인정보 탈취 NO"
현행법상 개인정보 유출만 안내 의무화…초기 대응ㆍ안내 오류 아쉬워

▲GS25 전경 및 10일 33만 고객들에게 배포된 문자 안내 메시지 (사진제공=GS리테일)

연초부터 국내 대형 유통기업인 GS리테일의 개인정보 유출 사건으로 세간이 떠들썩했다. 업체는 보도 당일인 6일 고객 문자메시지와 홈페이지를 통해 "로그인 정황이 파악된 고객에 대해서는 문자 메시지를 통해 내용을 전달했다"고 안내했다. GS리테일이 문자메시지를 보냈다고 밝힌 이용자는 총 9만 명, 그러나 그 이후로도 10일까지 약 33만 명이 GS리테일로부터 개인정보 안내 메시지를 추가로 전달받으면서 혼란이 이어지고 있다.

◇ "문자 안내, 왜 이제서야?"…9만 명 '정보 유출'-33만 명 '유출 전 로그인만'

결론부터 말하자면 1차로 문자메시지를 받은 '9만 명'과 2차로 안내를 받은 '33만 명'은 성격이 조금 다르다. 6일까지 안내 메시지를 받은 9만 명의 경우 해커가 GS리테일 웹사이트에 로그인해 고객정보 페이지에서 개인정보를 탈취한 직접 피해자들이다. GS리테일에 따르면 GS25와 GS샵, GS프레시 가입자 중 9만 명의 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일 개인정보가 유출된 것으로 추정된다.

반면 그보다 늦은 10일을 기해 안내 메시지를 받은 33만 명은 해커가 다크웹 등에서 수집한 아이디와 비밀번호를 이용해 웹페이지 로그인까지 진행했으나 개인정보 탈취까지는 성사되지 않은 이들이다. GS리테일 관계자는 "개인정보 유출은 안 됐지만 로그인 시도한 고객들에게도 2차 피해 예방하시라고 장문의 문자로 안내를 드린 것"이라고 설명했다.

그러나 문자를 받은 33만 고객의 혼란은 '현재진행형'이다. 별다른 메시지가 없어 마음을 놓고 있다 뒤늦게 메시지를 받은 이들 사이에선 '나도 개인정보가 털린 거냐'며 사태 파악을 묻는 말이 속출하고 있다. 실제 한 온라인 커뮤니티 이용자는 10일 문자메시지를 받은 직후 게시글을 통해 "이미 로그인을 했다는데 모든 것이 다 의심스럽다"고 우려를 표했다. 같은 날 안내 메시지를 받은 또 다른 커뮤니티 이용자 역시 'GS리테일 해킹에 따른 정보유출' 제하의 글을 통해 "무서운 세상이라 함부로 믿고 들어갈 수가 없다"고 하소연하기도 했다.

◇ 개인정보 유출고객에는 '즉시 통지' 의무화…단순 로그인 고객엔 규정 없어

그렇다면 두 그룹 사이에 왜 이 같은 시차와 혼란이 발생했을까. 현행 개인정보보호법 제34조에 따르면 개인정보처리자는 개인정보 유출 사실을 알게 된 후 바로 해당 주체에게 유출된 개인정보 항목과 유출 경위, 대응조치 및 피해 구제 절차 등 사실을 알려야 한다. 반면 위 33만 명과 같이 단순 로그인에 그친 이용자에 대해서는 별도 안내 의무규정은 없다. GS리테일 주장대로 적극적인 대응의 일환인 셈이다.

다만 해당 업체의 소극적인 초기 대응과 안내 오류에서 이용자 혼란이 확대된 측면도 있다. GS리테일이 6일 홈페이지를 통해 "(해커발)로그인 정황이 파악된 고객에게는 전부 문자메시지를 통해 안내를 완료했다"고 공지했다는 점을 고려하면 홈페이지 공지 당시 33만 명에 대해서도 이미 안내가 이뤄져야 했기 때문이다.

한편 이번 상황에 대해 GS리테일 측은 "해킹 공격과 관련해 개인정보 유출 고객을 1순위로 두고 안내에 나서다 보니 경황이 없었다"고 입장을 밝혔다. 그러면서도 33만 명에 대해서는 "별도 의무가 없음에도 2차 피해를 막기 위해 선제적 대응에 나선 점을 고객분들께서 알아주셨으면 한다"면서 "문자 메시지를 받으셨다면 비밀번호를 반드시 변경해 달라"고 강조했다.