[개인정보보호위원회]개인정보위, ㈜지에스리테일 유출사고에 대해 과징금 128억 3,600만 원, 과태료 300만 원 부과

개인정보보호위원회는 2026년 8월 26일 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 ㈜지에스리테일 및 3개 사업자에 대해 총 129억 5,444만 원의 과징금과 1,020만 원의 과태료를 부과하고 시정명령 및 공표명령을 의결하였습니다. ㈜지에스리테일은 크리덴셜 스터핑 공격으로 GS SHOP 회원 1,581,025명, GS25 회원 79,128명의 개인정보가 유출된 사고와 관련하여 과징금 128억 3,600만 원, 과태료 300만 원을 부과받았으며, 재발방지 대책 수립 및 개인정보 보호 거버넌스 체계 전반의 점검·개선을 내용으로 하는 시정명령도 함께 받았습니다. 나머지 3개 사업자인 ㈜엔라이즈, 에스케이텔레콤㈜, ㈜에이토즈도 각각 접근통제 미비, 수탁사 관리·감독 의무 위반, 유출 통지·신고 지연 등의 위반으로 제재를 받았습니다.

이번 사건에서 드러난 공통적인 문제는 개인정보처리시스템에 대한 접근통제 등 안전조치 의무를 소홀히 한 점입니다. ㈜지에스리테일의 경우, 동일 IP 주소에서 대규모 로그인 시도가 발생할 때 이를 탐지·차단하는 대책이 없었고, 이상징후가 발생하였음에도 인지하지 못해 장기간 유출이 지속되었습니다. GS25 유출을 2025년 1월 4일 최초 인지한 이후에도 GS SHOP에서 동일한 공격이 진행 중임을 2025년 2월에야 추가로 파악하여, 최초 인지 이후에도 유출이 계속되었습니다. 사고 당시 개인정보 전담조직이 부재하고 보안 운영이 이원화되어 있었으며, 추가 유출 대상자 1,599명에 대한 통지도 정당한 사유 없이 72시간을 경과하였습니다. ㈜엔라이즈는 앱 내 본인인증 취약점을 방치하고 동일 IP의 과다 접속에 대한 차단 정책을 설정하지 않았습니다. ㈜에이토즈는 관리자 페이지에 IP 주소 제한 등 접근통제 조치를 하지 않아 해당 페이지가 검색엔진에 노출되었고, 위탁사인 에스케이텔레콤㈜은 수탁사 관리·감독 의무를 다하지 않았으며 규정된 24시간 이내 유출 통지·신고 의무도 이행하지 않았습니다.

㈜지에스리테일에 대해서는 「개인정보 보호법」 제29조(안전조치의무) 및 제34조 제1항(유출 통지)을 위반한 것으로 판단하여 과징금 128억 3,600만 원과 과태료 300만 원을 부과하였습니다. 아울러 사업자 홈페이지에 처분 사실을 공표하도록 명령하였습니다. 시정명령의 내용은 서비스 접속량·패턴 분석을 통한 비정상 접속 식별 보안정책 적용, 개인정보 보호 전담인력 배치, 개인정보 보호 책임자(CPO)의 권한과 책임 명확화 등 거버넌스 체계 전반의 점검·개선입니다. ㈜엔라이즈에 대해서는 구 「개인정보 보호법」 제29조 위반으로 과징금 1억 1,844만 원과 과태료 360만 원을 부과하였습니다. 에스케이텔레콤㈜에 대해서는 구 「개인정보 보호법」 제26조(수탁사 관리·감독 의무) 및 제39조의4 제1항(유출 통지·신고 특례) 위반으로 과태료 360만 원과 시정명령을 부과하였습니다. ㈜에이토즈에 대해서는 구 「개인정보 보호법」 제29조 위반(접근통제, 접속기록)으로 경고 처분을 내렸습니다.

이번 처분은 단일 사건 기준으로 개인정보보호위원회가 부과한 과징금 중 매우 높은 수준에 해당하며, 대규모 회원 데이터를 보유한 유통·플랫폼 기업에 대한 강력한 경고 신호로 작용할 것입니다. 기업 관점에서 가장 주목해야 할 부분은 세 가지입니다. 첫째, 크리덴셜 스터핑과 같이 외부 해킹으로 인한 유출이더라도 탐지·차단 체계가 미비하면 사업자에게 안전조치의무 위반 책임이 귀속된다는 점이 재확인되었습니다. 이에 따라 로그인 이상징후 탐지, IP 기반 접근 제한, 다중 인증 도입 등 기술적 보호조치의 실질적 운영 여부가 제재 수위를 결정하는 핵심 요소가 됩니다. 둘째, 유출 인지 후 72시간 이내 통지·신고 의무의 엄격한 적용이 확인되었습니다. 특히 이번 사건에서는 최초 유출 인지 이후 동일 공격이 다른 서비스에서 계속되고 있음을 뒤늦게 파악한 점이 가중 요인으로 작용하였으므로, 복수의 서비스를 운영하는 기업은 사고 발생 시 전체 서비스에 대한 즉각적인 교차 점검 체계를 갖추어야 합니다. 셋째, 개인정보 보호 전담조직의 부재와 이원화된 보안 운영이 제재 근거로 명시된 점은 주목할 만합니다. 개인정보보호위원회가 거버넌스 구조 자체를 시정명령 대상으로 삼은 것은, 향후 조직 체계와 CPO 권한의 실질적 확보 여부도 규제 점검 대상이 될 수 있음을 시사합니다. 위탁 관계에 있는 기업도 주의가 필요합니다. 에스케이텔레콤㈜ 사례에서 보듯, 수탁사의 보안 미비로 유출이 발생하면 위탁사도 관리·감독 의무 위반으로 제재를 받을 수 있습니다. 외부 업체에 개인정보 처리를 위탁하는 경우 계약 조건과 실질적인 감독 이행 여부를 점검할 필요가 있습니다.