166만명 유출 지에스리테일, 과징금 128억원

지에스리테일(GS리테일)이 GS SHOP과 GS25 홈페이지 개인정보 유출 사고로 과징금 128억3600만원을 부과받았다. 두 서비스에서 유출된 개인정보는 GS SHOP 158만1025명, GS25 7만9128명으로 합산 166만명을 넘었다.

개인정보보호위원회는 26일 제17회 전체회의에서 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 시정명령과 홈페이지 공표 명령을 의결했다고 31일 밝혔다. 같은 회의에서 엔라이즈, SK텔레콤, 에이토즈 등 3개 사업자에 대한 처분도 함께 내려졌다.

4개 사업자에 부과된 과징금은 총 129억5444만원, 과태료는 총 1020만원이다. 개인정보위는 이들 사업자가 개인정보처리시스템 접근통제 등 안전조치를 소홀히 해 개인정보가 유출됐다고 판단했다.

GS리테일 사고는 크리덴셜 스터핑 공격에서 시작됐다. 크리덴셜 스터핑은 다른 경로로 확보된 아이디와 비밀번호를 여러 서비스 로그인에 반복 대입하는 공격 방식이다.

신원 미상 해커는 2024년 6월 21일부터 2025년 2월 13일까지 GS SHOP 홈페이지를 공격했다. GS25 홈페이지에는 2024년 12월 26일부터 2025년 1월 4일까지 같은 방식의 공격이 이뤄졌다.

해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접근했다. 유출 정보에는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

개인정보위가 문제 삼은 대목은 공격 자체보다 사전 탐지와 차단 체계였다. GS리테일이 짧은 시간 같은 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지하고 차단할 대책을 마련하지 않았다는 판단이다.

로그인 시도와 로그인 실패가 급격히 늘어나는 이상 징후도 제때 인지하지 못한 것으로 조사됐다. 그 결과 GS SHOP 홈페이지에서는 장기간 유출이 이어졌다.

대응 지연도 제재 사유가 됐다. GS리테일은 2025년 1월 4일 GS25 홈페이지 유출을 처음 인지했지만, GS SHOP에서도 같은 공격이 이어지는 사실을 2025년 2월에 추가로 파악했다.

GS25 공격에 사용된 IP 일부가 GS SHOP 공격에도 쓰였는데도 추가 유출을 막지 못한 셈이다. 개인정보위는 사고 당시 GS리테일에 개인정보 전담 조직이 없고 보안 운영이 이원화돼 있었다고 봤다.

최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, GS리테일이 정당한 사유 없이 72시간을 넘겨 통지한 사실도 확인됐다. 개인정보 보호법상 유출 통지는 사고 대응의 핵심 절차로, 피해자에게 대응 시간을 보장하는 장치다.

개인정보위는 GS리테일에 비정상 접속을 식별할 수 있는 보안정책 적용, 재발방지 대책 수립·시행, 개인정보 보호 전담 인력 배치, 개인정보보호책임자(CPO)의 권한과 책임 명확화 등을 명령했다. 회사 홈페이지에는 처분 사실을 공표해야 한다.

다른 사업자 처분도 함께 내려졌다. 엔라이즈는 데이팅 앱 서비스 본인인증 취약점으로 736개 계정 개인정보가 유출돼 과징금 1억1844만원과 과태료 360만원을 부과받았다.

SK텔레콤은 이프랜드 이벤트 웹사이트 유출과 관련해 과태료 360만원과 시정명령을 받았다. 에이토즈는 경고 처분을 받았다.

이번 처분은 대형 온라인 서비스의 계정 보안과 사고 대응 절차를 함께 겨냥했다. 국내에서는 개인정보 유출에 따른 대규모 과징금이 기업 실적에 반영된 사례도 나온 만큼, 개인정보 보호 체계는 단순 보안 비용을 넘어 기업 리스크 관리의 핵심 항목으로 굳어지고 있다.