2026년 9월 1일 화요일 발행
GS리테일 개인정보 유출에 128억 과징금
GS리테일이 운영하는 GS SHOP과 GS25 홈페이지의 개인정보 유출 사건에 대해 개인정보보호위원회가 128억3600만원의 과징금을 부과했어요. 과태료 300만원과 함께 시정명령·공표 조치도 의결했어요.
개인정보보호위원회는 GS SHOP 유출 대상자를 158만1025명, GS25 유출 대상자를 7만9128명으로 제시했어요. 두 홈페이지에서 개인정보가 유출된 사건이지만, 이 채널별 수치를 중복 없는 한 사람씩의 총인원으로 단순 합산할 수는 없어요. 크리덴셜 스터핑은 다른 곳에서 유출된 것으로 추정되는 계정 정보 조합을 자동으로 대입해 로그인을 시도하는 공격 방식이에요.
조사에서는 동일 IP에서 대규모 로그인 시도가 이어지는 이상징후를 식별하고 차단할 대책이 마련되지 않았던 점이 지적됐어요. GS리테일은 GS25 홈페이지 유출을 처음 인지한 뒤에도 GS SHOP에서 같은 공격이 진행 중인 사실을 한 달 뒤에 파악했어요. 개인정보 전담 조직도 제대로 운영되지 않았고, 유출 대상자를 확인한 뒤 정당한 사유 없이 72시간을 넘겨 통지한 사실도 적발됐어요.
시정명령에는 신속한 사고 대응을 위한 개인정보 보호 전담 인력 배치가 포함됐어요.
체리 두 조각
사고가 시작된 뒤에는 같은 공격을 빠르게 차단하고 유출 대상자에게 제때 알리는 조치가 중요해요. GS리테일은 GS25 유출을 인지하고도 GS SHOP의 같은 공격을 한 달 뒤 파악했고, 통지도 72시간을 넘겼어요.
공격이 발생하기 전에는 이상 로그인 시도를 잡아낼 장치와 이를 맡을 조직을 갖추는 데 무게를 둬요. 조사에서는 동일 IP의 대규모 로그인 시도를 식별·차단할 대책과 개인정보 전담 조직 운영이 미흡했던 점이 지적됐어요.