[GS리테일] 크리덴셜 스터핑으로 GS샵·GS25 회원 166만명 개인정보 유출, 과징금 128억원_2026년 08월

신원 미상의 해커가 사전 확보한 아이디·비밀번호를 무차별 대입하는 '크리덴셜 스터핑' 공격으로 GS리테일이 운영하는 GS SHOP·GS25 홈페이지에 침입해 회원 166만153명의 개인정보를 유출한 사실이 확인됐다. 개인정보보호위원회는 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고 재발방지대책 마련 및 처분 결과 공표를 명령했다.

□  개요 

   2026년 08월 31일 개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하기로 의결했다고 밝혔다. 재발방지 대책 마련과 처분 결과 홈페이지 공표, 개인정보 보호 체계 개선도 함께 명령했다.
    이번 사고는 해커가 GS리테일이 운영하는 GS샵(GS SHOP)과 GS25 홈페이지를 대상으로 크리덴셜 스터핑 공격을 벌이면서 발생했다. 크리덴셜 스터핑은 다른 경로에서 확보한 아이디와 비밀번호를 여러 온라인 서비스에 무차별적으로 대입해 로그인을 시도하는 공격 방식이다. 개인정보위 조사에 따르면 해커는 2024년 6월 21일부터 2025년 2월 13일까지 GS SHOP 홈페이지를, 2024년 12월 26일부터 2025년 1월 4일까지는 GS25 홈페이지를 대상으로 공격을 벌였다. 해커는 로그인에 성공한 뒤 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만1025명과 GS25 회원 7만9128명, 총 166만153명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 탈취했다.
    GS리테일은 지난해 1월 4일 GS25 홈페이지의 개인정보 유출을 처음 인지했지만, GS샵에서도 같은 방식의 공격이 진행되고 있다는 사실은 두 달여 뒤인 2월에야 파악했다. GS25 공격에 사용된 IP 중 일부는 GS샵 공격에도 쓰인 것으로 조사돼, 최초 인지 이후 신속한 전사적 대응이 이뤄지지 않았다는 지적이 나온다. 개인정보 보호 조직 운영도 미흡했던 것으로 나타났다. 사고 당시 개인정보 전담조직이 없었고 보안 운영도 이원화돼 있었다. 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만 정당한 사유 없이 지연 통지된 사실도 드러났다.
    개인정보위는 GS리테일이 단기간 동일 IP 주소에서 대규모 로그인 시도가 발생할 때 이를 탐지·차단하는 대책을 갖추지 않아 로그인 실패가 급격히 증가하는 이상 징후를 제때 인지하지 못한 점, GS25 유출을 먼저 파악하고도 후속 대응을 소홀히 해 GS샵 피해를 두 달 뒤에야 확인한 점 등을 제재 근거로 지적했다. 개인정보위는 GS리테일에 비정상 접속을 식별·차단할 수 있는 보안 정책을 정비하고, 개인정보 보호 전담 인력을 배치하며, 개인정보보호책임자(CPO)의 권한과 책임을 명확히 하는 등 관련 거버넌스 체계를 개선하도록 시정명령했다. 개인정보위 관계자는 "개인정보처리시스템 운영 시 미인가 접근 제한 등 기본적인 안전조치 의무를 준수해야 한다"며 "유출 사고 발생 시 정보주체가 신속히 대응할 수 있도록 72시간 이내에 신고와 통지를 마쳐야 한다"고 당부했다.

 

□  사고내용 요약  

    1. 회사명 : GS리테일(GS SHOP, GS25)
    2. 사고유형
        - 크리덴셜 스터핑(계정정보 무차별 대입) 공격을 통한 개인정보 유출 사고
        -  장기간(약 8개월) 지속된 미탐지 해킹 사고
        -  개인정보보호법 위반에 따른 제재(과징금·과태료·시정명령) 사고
    3. 유출규모 : 총 166만153명(GS SHOP 158만1025명 + GS25 7만9128명)
    4. 유출항목
        - 이름, 성별, 생년월일
        - 연락처, 주소, 이메일

    5. 특이사항
        - GS SHOP은 약 8개월간(2024.6~2025.2), GS25는 약 열흘간(2024.12~2025.1) 공격이 지속됨에도 탐지·차단하지 못함
        - GS25 유출을 먼저 인지(2025.1.4)하고도 GS샵 동일 공격을 한 달 넘게(2월) 뒤늦게 파악, 공격 IP 일부가 두 서비스에 공통 사용된 사실도 뒤늦게 확인
        - 사고 당시 개인정보 전담조직 부재, 보안 운영 이원화 등 관리체계 미비 확인
        - 최초 통지 이후 조사 과정에서 추가 유출 대상자 1599명이 확인됐으나 정당한 사유 없이 지연 통지
        - 같은 회의에서 데이팅앱 '위피' 운영사 엔라이즈, SK텔레콤, 에이토즈 등도 함께 제재(4개사 합산 과징금 약 129억5444만원)
        - 개인정보위, 72시간 내 신고·통지 의무와 미인가 접근 제한 등 기본 안전조치 준수를 재차 강조

□  사고대응 타임라인  

    - 2024년 06월 21일~2025년 02월 13일
        . GS SHOP 홈페이지 대상 크리덴셜 스터핑 공격 지속(회원정보 수정 페이지 통해 개인정보 탈취)
    - 2024년 12월 26일~2025년 01월 04일
        . GS25 홈페이지 대상 동일 방식 공격
    - 2025년 01월 04일
        . GS리테일, GS25 홈페이지 개인정보 유출 최초 인지
    - 2025년 02월
        . GS샵에서도 동일 방식 공격이 진행되고 있었다는 사실 뒤늦게 파악
    - 조사 진행 기간
        . 개인정보보호위원회, 사고 경위·보안체계 미비 여부 정밀 조사
        . 조사 과정에서 추가 유출 대상자 1599명 확인
    - 2026년 08월 26일
        . 개인정보보호위원회 제17회 전체회의, GS리테일 과징금 128억3600만원·과태료 300만원 부과 및 시정명령 의결
    - 2026년 08월 31일
        . 개인정보보호위원회 제재 결과 공식 발표
        . 동아일보 등 다수 언론 보도

□  제재 결과  

    - GS리테일 : 과징금 128억3600만원, 과태료 300만원 부과
    - 재발방지 대책 마련 및 처분 결과 홈페이지 공표 명령
    - 비정상 접속 식별·차단 보안정책 정비 시정명령
    - 개인정보 보호 전담 인력 배치, CPO 권한·책임 명확화 등 거버넌스 개선 시정명령

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 동일 IP·계정에서의 반복 로그인 시도 탐지·차단 체계 구축(크리덴셜 스터핑 방어)
       - 로그인 실패율 급증 등 이상 징후 실시간 모니터링
       - 계정 잠금·캡차(CAPTCHA)·다중인증(MFA) 등 무차별 대입 방어 수단 도입
       - 계열사 간(GS샵-GS25) 공격 IP·패턴 정보 실시간 공유 체계 마련
       - 정기 취약점 점검 및 모의해킹 수행

    2. 관리적 조치
       - 개인정보 보호 전담조직 신설 및 보안 운영 일원화
       - 개인정보보호책임자(CPO)의 권한·책임 명확화
       - 72시간 이내 신고·통지 의무 준수를 위한 대응 프로세스 정비
       - 추가 유출 대상자 확인 시 지연 없는 신속 통지 절차 마련
       - 계열사 간 유사 공격 조기 공유 및 전사적 침해사고 대응체계 구축

□  관련기사(출처)  

• 166만명 개인정보 유출… GS리테일 과징금 128억 - 동아일보
• GS리테일, 개인정보 166만명 유출…과징금 128억원 '철퇴' - EBN
• 166만 정보 털린 GS리테일…과징금 128억 부과 - 서울경제
• '166만명 개인정보 유출' GS리테일, 과징금 128억3600만원 - 알파경제
• GS리테일, 고객 166만명 개인정보 유출…개보위, 128억원대 과징금 - 한국NGO신문

 

감사합니다.