‘166만명 개인정보 유출’ GS리테일에 과징금 128억원

개인정보보호위원회는 2026년 8월 31일, GS리테일이 운영하는 GS SHOP과 GS25에서 약 166만 명의 개인정보가 유출된 사건에 대해 과징금 128억 3600만 원과 과태료 300만 원을 부과했습니다. 해커는 '크리덴셜 스터핑' 방식으로 GS리테일 홈페이지를 공격했으며, 개인정보위는 재발방지 대책 마련과 개인정보 보호 조직 개선도 함께 명령했습니다. 같은 날 엔라이즈, SK텔레콤, 에이토즈에 대해서도 각각 제재 처분이 내려졌습니다.

개인정보위 조사 결과, GS리테일은 동일 IP에서 대규모 로그인 시도가 발생해도 이를 탐지하거나 차단하는 대책을 갖추지 않았습니다. 로그인 시도 및 실패가 급증하는 이상징후도 인지하지 못했으며, GS25 유출을 확인한 이후에도 GS SHOP에서 동일한 공격이 진행 중이라는 사실을 약 한 달이 지나서야 파악했습니다. 실제로 GS25 공격에 사용된 IP 327개가 GS SHOP 공격에도 그대로 활용됐음에도 이를 뒤늦게 확인한 것입니다. 내부 관리체계 측면에서도 개인정보 보호 전담조직이 없고 보안 운영이 이원화되어 있었으며, 추가로 확인된 유출 대상자 1,599명에게는 법정기한인 72시간을 넘겨 유출 사실을 통지한 것으로 드러났습니다.

개인정보보호위원회는 GS리테일에 과징금 128억 3600만 원과 과태료 300만 원을 부과하는 한편, 비정상 접속을 식별할 수 있는 보안정책 도입, 재발방지 대책 마련, 개인정보 보호 조직 개선을 명령했습니다. 아울러 개인정보 관리·보호 의무를 위반한 엔라이즈에는 과징금 1억 1844만 원과 과태료 360만 원이, SK텔레콤에는 과태료 360만 원이 각각 부과되었으며, 에이토즈에는 경고 처분이 내려졌습니다.

이번 처분은 크리덴셜 스터핑 공격에 대한 탐지·차단 체계 미비, 개인정보 보호 전담조직 부재, 유출 통지 기한 위반 등 복합적인 관리 의무 위반에 대해 100억 원대의 대규모 과징금이 부과된 사례로, 개인정보보호위원회의 제재 수위가 높아지고 있음을 보여줍니다. 온라인 서비스를 운영하는 기업이라면 동일 IP 반복 로그인 시도 차단, 이상징후 모니터링 체계 구축, 개인정보 보호 전담조직 운영 등의 기술적·관리적 보호조치 수준을 점검할 필요가 있습니다. 특히 복수의 서비스를 운영하는 경우, 한 서비스에서 확인된 공격 IP 정보를 다른 서비스에도 즉시 공유하고 대응하는 통합 보안 운영 체계가 갖춰져 있는지 확인하는 것이 중요합니다. 유출 발생 시 추가 피해자에 대한 72시간 이내 통지 의무도 이번 제재에서 위반 사항으로 명시된 만큼, 사고 대응 절차에서 통지 기한 관리를 별도로 점검할 필요가 있습니다.