개인정보위, 개인정보 유출 '티머니'에 과징금 5억 3,400만원 부과- 반복적 공격 등 이상행위 대응 소홀로 2차피해 발생- 재발방지 위한 구체적 대책 수립·시행할 것을 시정명령 개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 1월 28일(수) 제2회 전체회의를 열고, ｢개인정보 보호법｣(이하 '보호법')을 위반한 ㈜티머니에 총 5억 3,400만원의 과징금을 부과하고 시정명령 및 공표 명령하기로 의결했다. 개인정보위는 '25. 4. 11. 접수된 개인정보 유출 신고에 따라 조사한 결과, ㈜티머니가「개인정보 보호법」에 따른 안전조치 의무를 소홀히 한 것으로 확인하였으며, 구체적인 위반 내용과 처분 결과는 다음과 같다.
위반내용 및 처분 결과 ㈜티머니는 선불교통카드 및 대중교통 요금 정산 등 서비스를 운영하는 사업자로, '티머니 카드&페이' 웹사이트에 신원 미상의 해커가 '25. 3. 13. ~ 3. 25. 동안 '크리덴셜 스터핑*(Credential Stuffing)' 공격 방법으로 침입해 51,691명의 개인정보(이름, 이메일 주소, 휴대폰 번호, 주소)를 유출했다.
공격자가 어떤 방법을 통해 계정·비밀번호 정보를 취득한 후 다른 사이트에서도 이를 동일하게 사용하여 성공할 때까지 로그인을 시도하는 해킹 공격으로, 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보임 개인정보위 조사 결과에 따르면, 위 기간 해커는 '티머니 카드&페이' 웹사이트에 국내·외 9,647개 아이피(IP) 주소를 사용해 1초당 최대 131회, 1분당 최대 5,265회, 총 1,226만 번 이상 대규모로 로그인을 시도*했다. 이 중 51,691명의 회원 계정으로 로그인에 성공하여 개인정보가 포함된 웹페이지에 접근한 것으로 확인되었다.
공격 기간의 일평균 로그인 시도 건수는 평시 대비 68배 높은 것으로 확인됨 이 과정에서 해커는 로그인에 성공한 계정 중 4,131명의 계정에서 잔여 'T마일리지' 약 14백만원을 선물하기 기능으로 탈취하여 추가적인 피해가 발생하였다.