개인정보보호위, 지에스리테일에 과징금 128억 부과…회원 166만명 정보 유출

개인정보보호위원회가 지에스리테일에 과징금 128억3600만 원과 과태료 300만 원을 부과하고 시정명령을 내렸다. 이 회사가 운영하는 GS샵 홈쇼핑과 GS25 편의점에서 회원들의 개인정보가 대거 유출된 데 따른 조치다.

해커는 2024년 6월부터 2025년 2월까지 크리덴셜 스터핑 공격으로 두 서비스 회원 계정에 잇달아 접근했다. 사전에 확보한 아이디와 비밀번호를 무차별 대입하는 방식으로, GS샵에서는 158만1025명, GS25에서는 7만9128명의 이름·성별·생년월일·연락처·주소·이메일 등이 빠져나갔다.

개인정보위는 지에스리테일이 짧은 시간 동일 IP에서 대규모 로그인 시도를 탐지·차단하는 장치를 갖추지 않았고, 로그인 실패 급증 같은 이상징후도 미처 인지하지 못했다고 밝혔다. 유출을 처음 알게 된 날은 GS25 기준 2025년 1월 4일이었으나 사고 대응이 미흡해 GS샵에서 같은 공격이 계속되고 있는 사실은 같은 해 2월에야 뒤늦게 파악됐고, 이 사이에도 개인정보가 추가로 유출됐다.

개인정보 전담조직 부재와 보안 운영 이원화 등 조직적 허술도 지적됐다. 유출 통지도 1599명에 대해 정당한 사유 없이 72시간을 넘겨 이뤄진 것으로 확인됐다. 개인정보위는 이 회사에 재발방지 대책 수립과 개인정보 보호 전담인력 배치, 최고개인정보책임자 권한 명확화 등을 요구하는 시정명령도 내렸다.

이번 회의에서 개인정보위는 데이팅 앱을 운영하는 엔라이즈, 에스케이텔레콤의 메타버스 서비스 '이프랜드' 이벤트용 웹사이트를 제작·운영한 에이토즈 등 다른 3개 사업자에 대해서도 과징금과 과태료를 부과했다. 이들 역시 개인정보처리시스템 접근통제 등 안전조치를 소홀히 해 정보가 새 나간 사례다. 엔라이즈는 앱 본인인증 취약점을 이용한 해킹으로 16,803개 휴대전화번호로 로그인을 시도해 닉네임·성별·프로필 사진·생년월일 등이 유출됐고, 에이토즈는 관리자 페이지 검색엔진 노출로 1140명의 이름과 휴대전화번호가 드러났다. 에스케이텔레콤은 24시간을 경과해 유출 통지·신고한 것으로 확인됐다.

개인정보위는 인가받지 않은 접근 제한, 취약점 점검 같은 기본 원칙 준수를 재차 강조하고, 유출 사고 발생 시 72시간 내 신고·통지를 당부했다.