개인정보보호위원회가 GS리테일의 개인정보 보호법 위반에 과징금 128억3600만원과 과태료 300만원을 부과하고 재발방지 대책 마련 등을 명령했다. 개인정보위는 8월 26일 전체회의에서 처분을 의결한 뒤 31일 결과를 공개했다. 당국 조사에서 GS SHOP 이용자 158만1025명과 GS25 이용자 7만9128명의 계정 정보가 유출 대상으로 집계됐으며, 두 서비스의 규모를 합치면 166만153건이다.
확인된 유출 항목에는 이름, 성별, 생년월일, 연락처, 주소 등이 포함됐다. 공격자는 다른 곳에서 확보한 아이디와 비밀번호 조합을 반복 입력하는 크리덴셜 스터핑 수법을 사용한 것으로 조사됐다.
GS SHOP은 2024년 6월 21일부터 2025년 2월 13일까지, GS25는 2024년 12월 26일부터 2025년 1월 4일까지 공격을 받은 것으로 조사됐다. GS리테일은 2025년 1월 4일 GS25의 유출 사실을 먼저 파악했지만, GS SHOP에서도 같은 유형의 공격이 이어졌다는 사실은 2월에 확인했다. 이후 조사 과정에서 최초 통지 대상 외에 1599명이 추가로 확인됐으나, 이들에게는 정당한 사유 없이 72시간을 넘겨 유출 사실이 통지됐다는 것이 개인정보위 판단이다. 개인정보위는 올해 8월 26일 처분을 의결했고 31일 과징금과 과태료, 시정명령 내용을 발표했다.
이번 처분은 하나의 사업자가 운영하는 여러 서비스에서 동일 유형의 계정 공격이 이어졌을 때 보안 대응이 개별 사이트에 머물러서는 안 된다는 점을 보여준다. 개인정보위 조사 결과 짧은 시간 동안 같은 IP 주소에서 대규모 로그인 시도가 발생하거나 로그인 실패율이 급증하는 이상 징후가 있었지만 이를 탐지·차단하는 대책이 충분히 마련되지 않았다. GS25 공격에 사용된 IP 주소 가운데 327개는 GS SHOP 공격에도 쓰인 것으로 파악됐다.
개인정보위는 사고 당시 개인정보 전담 조직이 없었던 점과 추가 유출 대상자 통지가 법정 기한을 넘긴 점도 처분 근거로 판단했다. 공개된 처분 내용에서 확인되는 유출 범위는 계정과 연락처·주소 등 개인정보이며, 결제수단이나 금융정보까지 유출됐다고 확정한 내용은 이번 발표에 포함되지 않았다.
당국이 확정해 공개한 것은 서비스별 유출 규모와 항목, 공격 기간, 안전조치 미흡 및 통지 지연에 대한 행정처분이다. GS리테일은 사고 이후 보안 시스템과 관리체계를 전면 점검하고 정보보호 수준을 강화했으며, 개인정보 보호를 주요 경영 과제로 삼아 임직원 교육과 내부 관리체계 정비를 계속하겠다는 입장을 밝혔다. 다만 해당 조치가 현장에서 어느 수준까지 완료됐는지와 유출 정보로 인한 개별 이용자의 2차 피해 여부는 이번 발표만으로 확정할 수 없다. 회사의 개선 입장과 개인정보위가 확인한 위반 사실은 구분해 볼 필요가 있다.
GS SHOP이나 GS25 계정을 이용했던 독자는 회사가 발송한 유출 안내와 공식 홈페이지 공지에서 자신의 해당 여부와 안내된 조치를 확인하는 것이 우선이다. 이번 공격이 다른 사이트에서 유출된 로그인 정보를 재사용한 방식으로 조사된 만큼 같은 비밀번호를 여러 서비스에서 사용했다면 각 서비스의 비밀번호를 서로 다르게 변경할 필요가 있다. 처분의 구체적인 위반 내용과 시정명령 범위는 개인정보보호위원회의 8월 31일 공식 보도자료에서 확인할 수 있다.
확인한 원문
검증 원문 2건공식 1차 자료 1곳 · 신뢰 독립 원출처 2곳 · 전체 독립 원출처 3곳 · 전체 공개 신호 3건
01최초 게시
