“GS샵 158만명 털리고도 8개월간 몰랐다”…과징금 128억 GS리테일 ‘철퇴’
강주리 기자
수정 2026-08-31 18:26
입력 2026-08-31 18:23
166만명 개인정보 유출… GS25 8만명 해킹 인지하고도 동일 IP에 GS SHOP 또 털려
이름·생년월일·연락처·주소 무방비 유출단시간 로그인 시도·실패 급증 인지 못해
탐지·차단책 전무해 장기간 유출 이어져
조사서 1599명 추가 유출에 늑장 통지도
데이팅 앱 ‘위피’ 엔라이즈도 과징금 1억
SK텔레콤 ‘이프랜드’ 360만원 과징금
온라인 홈쇼핑 ‘GS 샵(SHOP)’과 편의점 ‘GS25’에서 166만명에 달하는 고객 개인정보가 유출돼 운영사인 GS리테일에 128억원대 과징금이 부과됐다.
개인정보보호위원회는 31일 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과하기로 의결했다고 밝혔다.
신원 미상의 해커는 GS SHOP과 GS25 홈페이지에 2024년 6월부터 지난해 2월까지 ‘크리덴셜 스터핑’ 공격을 시도해 로그인에 성공했다. 크리덴셜 스터핑은 사전에 확보한 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 공격 방식이다. 해커는 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만 1025명과 GS25 회원 7만 9128명의 이름·성별·생년월일·연락처·주소·이메일 등 개인정보를 빼냈다.
GS리테일은 동일한 인터넷프로토콜(IP) 주소에서 단시간에 대규모 로그인 시도가 발생할 경우 이를 탐지·차단하는 대책을 마련하지 않은 것으로 조사됐다. 로그인 시도·실패가 급증했는데도 이상 징후를 인지하지 못해 개인정보 유출이 장기간 이어졌다.
특히 GS리테일은 2024년 12월 26일 시작된 GS25의 개인정보 유출을 열흘 만인 지난해 1월 4일 최초 인지하고도 GS SHOP에서 같은 공격이 발생한 사실을 한 달여 뒤에야 파악했다. GS25 공격에 쓰인 IP 중 327개가 GS SHOP 공격에도 사용됐지만 유출사고 대응에 소홀해 추가 유출을 막지 못했다.
사고 당시 개인정보 전담 조직이 없고 보안 운영도 이원화돼 있었던 것으로 조사됐다. 개인정보위 조사에서 유출 대상자 1599명이 추가 확인됐지만 이들에 대한 통지도 정당한 사유 없이 법정 기한인 72시간을 넘겼다.
개인정보위는 GS리테일에 과징금·과태료 부과와 함께 처분 사실 공표를 명령하고, 비정상 접속 식별 대책과 개인정보 보호 전담 인력 배치 등 개인정보 보호 체계 전반을 개선하도록 시정명령했다.
이와 함께 개인정보위는 엔라이즈와 SK텔레콤, 에이토즈에도 제재를 내렸다. 데이팅 앱 ‘위피’ 운영사 엔라이즈는 2023년 3월 해킹으로 736개 계정의 닉네임·성별·프로필 사진 등 개인정보가 유출돼 과징금 1억 1844만원과 과태료 360만원을 부과받았다.
SK텔레콤이 에이토즈에 위탁해 운영한 메타버스 서비스 ‘이프랜드’ 이벤트 웹사이트에서도 관리자 페이지 노출로 1140명의 개인정보가 유출돼 SK텔레콤에 과태료 360만원과 시정명령, 에이토즈에 경고 처분이 내려졌다.
세종 강주리 기자
세줄 요약
- GS샵·GS25서 166만명 개인정보 대규모 유출
- 크리덴셜 스터핑 탐지·차단 미비로 장기 방치
- 개인정보위, GS리테일에 과징금 128억 부과
Copyright ⓒ 서울신문 All rights reserved. 무단 전재-재배포, AI 학습 및 활용 금지
[ 내안의 AI 본성 분석 :
UNMASK ]
기사 읽는 습관에 숨겨진 당신의 MBTI는?
Q.
기사를 다 읽으셨나요? AI 퀴즈로 핵심 점검!
GS리테일 개인정보 유출 공격 방식은?
![THE NEXT : AI 운명 알고리즘 지금, 당신의 운명을 확인하세요 [운세 확인하기]](https://imgmo.seoul.co.kr/img/n24/banner/ban_ai_fortune_v2.png)
