입력 : 2026년 9월 1일 (화) 11:38

GS리테일, 해커 공격에 개인정보 166만 명 유출…과징금 128억

GS SHOP·GS25 대규모 로그인 공격 장기간 방치…개인정보위, 과태료 300만원도 부과

개인정보 유출 사고가 발생한 ㈜지에스리테일에 128억 원이 넘는 과징금이 부과됐다. 해커의 대규모 로그인 시도를 탐지·차단하지 못해 GS SHOP과 GS25에서 약 166만 명의 개인정보가 유출된 데 따른 조치다. 개인정보보호위원회는 사고 대응과 개인정보 보호 조직 운영도 미흡했다고 판단했다.

개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 지난달 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 ㈜지에스리테일 등 3개 사업자에 대해 총 129억 5444만 원의 과징금과 1020만 원의 과태료를 부과했다고 지난달 31일 밝혔다. 이와 함께 재발방지 대책 마련 등의 시정명령과 처분 결과 홈페이지 공표도 의결했다.

먼저 ㈜지에스리테일이 운영하는 GS SHOP과 GS25 홈페이지에서는 해커의 ‘크리덴셜 스터핑(Credential Stuffing)’ 공격으로 대규모 개인정보 유출이 발생했다.

신원 미상의 해커는 GS SHOP 홈페이지를 대상으로 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지를 대상으로 2024년 12월 26일부터 2025년 1월 4일까지 크리덴셜 스터핑 공격을 시도해 로그인에 성공했다.

이후 회원정보 수정 페이지에 접속해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보를 유출했다. 유출된 정보에는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

크리덴셜 스터핑은 다른 사이트에서 유출된 아이디와 비밀번호 등을 이용해 여러 계정에 대량으로 로그인을 시도하는 공격 방식이다.

개인정보위 조사 결과, ㈜지에스리테일은 짧은 시간 동안 동일한 IP 주소에서 대규모 로그인 시도가 발생할 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았다. 로그인 시도와 실패가 급격히 증가하는 이상징후가 나타났음에도 이를 인지하지 못해 개인정보 유출이 장기간 이어진 것으로 조사됐다.

특히 ㈜지에스리테일은 GS25 홈페이지에서 발생한 유출을 2025년 1월 4일 처음 인지했지만, GS SHOP 홈페이지에서도 동일한 공격이 진행되고 있다는 사실은 같은 해 2월이 돼서야 추가로 확인했다. 이 때문에 최초 유출을 인지한 이후에도 1월 4일부터 2월 13일까지 개인정보가 계속 유출됐다.

개인정보 보호 조직 운영도 미흡했다. 사고 당시 개인정보 전담조직이 없었고 보안 운영이 이원화돼 있었으며, 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐음에도 정당한 사유 없이 72시간을 넘겨 유출 사실을 통지한 것으로 나타났다.

이에 개인정보위는 ㈜지에스리테일에 과징금 128억3600만 원과 과태료 300만 원을 부과하고, 홈페이지에 처분 사실을 공표하도록 했다.

또 서비스 접속량과 패턴을 분석해 비정상적인 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하도록 시정명령했다. 신속한 사고 대응을 위해 개인정보 보호 전담인력을 배치하고, 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 개인정보 보호 거버넌스 체계도 점검·개선하도록 했다.

데이팅 앱 서비스에서도 개인정보 유출 사고가 발생해 사업자에 과징금과 과태료가 부과됐다.

㈜엔라이즈가 운영하는 데이팅 앱 서비스에서는 신원 미상의 해커가 앱 내 본인인증 취약점을 이용해 2023년 3월 23일부터 27일까지 1만6803개의 휴대전화번호로 로그인을 시도했고, 이 과정에서 736개 계정의 개인정보가 유출됐다.

유출된 정보는 닉네임, 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등이다.

조사 결과 ㈜엔라이즈는 앱 내 본인인증 취약점에 대한 점검과 조치를 소홀히 했으며, 동일 IP에서 과도한 접속이 발생할 경우 이를 차단하는 정책도 설정하지 않은 것으로 확인됐다.

개인정보위는 ㈜엔라이즈에 과징금 1억1844만 원과 과태료 360만 원을 부과했다.

이밖에 ㈜에이토즈와 에스케이텔레콤㈜에 대해서도 개인정보 보호 법규 위반 사항이 확인됐다.

㈜에이토즈는 에스케이텔레콤㈜으로부터 ‘이프랜드’ 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 관리자 페이지가 검색엔진에 노출됐다. 이로 인해 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지를 통해 1140명의 이름과 휴대전화번호가 유출됐다.

조사 결과 ㈜에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않은 것으로 확인돼 경고 처분을 받았다.

에스케이텔레콤㈜은 개인정보 유출 사실을 인지한 뒤 24시간을 경과해 유출 통지·신고한 사실이 확인돼 과태료 360만 원과 시정명령을 받았다.

개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 다시 한번 강조했다. 또한, 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부했다.