GS리테일 개인정보 유출 166만명, 과징금 128억의 전말

GS리테일이 약 166만명에 달하는 회원 개인정보를 유출한 사실이 공식 확인됐습니다. 개인정보보호위원회는 8월 26일 전체회의를 열고 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했는데요.

사실 저도 GS샵 오래 써온 편이라, 이 소식이 남 일 같지 않더라고요. 이름부터 주소, 이메일까지 통째로 유출됐다니 찝찝함이 좀처럼 사라지질 않습니다.

GS리테일 개인정보 유출, 공격 방식은 크리덴셜 스터핑

이번 해킹의 핵심 수법은 ‘크리덴셜 스터핑’이었습니다. 다른 경로로 미리 확보한 아이디와 비밀번호를 GS샵, GS25 홈페이지에 무차별 대입하는 방식인데요. 로그인 성공 후 회원정보 수정 페이지에 접근해 개인정보를 빼갔습니다.

GS샵에 대한 공격은 2024년 6월 21일부터 2025년 2월 13일까지 약 8개월간 지속됐고, GS25는 2024년 12월 26일부터 2025년 1월 4일까지 집중 공격을 받았습니다. 공격이 이렇게 장기간 이어졌다는 게 놀라운 부분입니다.

GS리테일 피해 현황 한눈에 보기

위 표를 보면 GS샵의 피해가 압도적으로 크고, 공격 기간도 약 8개월에 달합니다. 이 긴 시간 동안 GS리테일이 이상 징후를 제대로 포착하지 못했다는 게 이번 사건의 핵심 문제입니다.

GS리테일 보안 허점, 무엇이 문제였나

개인정보위는 GS리테일이 같은 IP에서 짧은 시간 안에 대규모 로그인 시도가 발생해도 이를 탐지하고 차단할 체계를 전혀 갖추지 않았다고 판단했습니다.

로그인 시도 횟수와 실패율이 급증하는 이상징후가 이미 나타나고 있었는데, 이를 적시에 파악하지 못하면서 유출이 장기간 이어진 겁니다.

GS리테일 내부 관리 체계 문제도 한꺼번에 드러났습니다

위 표에서 보듯이 단순히 해킹에 뚫린 것을 넘어서 기술·조직·법적 의무 이행 등 모든 측면에서 문제가 복합적으로 드러났습니다.

GS리테일, 재발 방지 위해 뭘 바꿔야 하나

개인정보위는 GS리테일에 서비스 접속량과 이용 패턴을 분석해 비정상 접근을 탐지·차단할 보안정책을 마련하도록 시정명령을 내렸습니다. 또한 개인정보 보호 전담인력을 배치하고, CPO(개인정보보호책임자)의 권한과 책임을 명확히 하도록 지시했습니다.

GS리테일은 공식 입장을 내고 사과와 함께 ‘정보보안대책위원회’ 구성, 임직원 교육 강화, 내부 관리체계 정비 등을 약속했습니다. 이번 사건이 단순한 과징금 납부로 끝나지 않고 실질적인 보안 체계 개선으로 이어지는지가 앞으로의 관건입니다.

Q. GS리테일 개인정보 유출 여부를 확인하는 방법이 있나요?

A. GS샵 또는 GS25 공식 홈페이지에서 로그인 후 유출 안내 팝업이나 공지를 확인할 수 있습니다. GS리테일은 피해 해당자에게 개별 통지를 해야 할 의무가 있으므로, 가입 당시 등록한 이메일이나 휴대전화 문자를 확인해보시기 바랍니다.

Q. GS리테일 과징금 128억은 어떻게 산정된 건가요?

A. 개인정보 보호법에 따라 관련 매출액을 기준으로 과징금이 산정됩니다. GS리테일의 경우 안전조치 위반, 대응 지연, 통보 지연 등 복수의 위반 사항이 중첩 적용되어 128억원대의 과징금이 부과된 것으로 분석됩니다.

Q. 크리덴셜 스터핑 피해를 개인적으로 예방할 수 있나요?

A. GS리테일 같은 사고를 당하지 않으려면, 여러 사이트에 동일한 비밀번호를 사용하지 않는 것이 가장 중요합니다. 각 사이트마다 고유한 비밀번호를 설정하고, 2단계 인증(OTP)을 활성화하면 피해를 크게 줄일 수 있습니다.

추가로 보면 좋은 내용

민음사 회원 번호 유출 사과 강성연 재혼 남편 장민욱 신경과 의사 국민성장펀드 가입방법 완벽 정리 춘천마임축제 2026 완벽 가이드