개인정보위, GS리테일에 과징금 128억…166만명 규모 개인정보 유출

GS SHOP 158만명·GS25 7만9000여명 개인정보 유출

GS리테일대규모 로그인 이상징후 탐지·차단 미흡…동일 공격 뒤늦게 파악

엔라이즈·SK텔레콤에도 과징금·과태료…에이토즈는 경고 조치

송경희 개인정보보호위원회 위원장이 22일 서울 종로구 정부서울청사에서 열린 2026년 제7회 개인정보보호위원회 전체회의에서 발언하고 있다.[사진=연합뉴스]

개인정보보호위원회(이하 개인정보위)가 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다. 엔라이즈와 SK텔레콤에도 과징금·과태료 처분을 내리고, 에이토즈에는 경고 조치했다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 GS리테일과 엔라이즈, SK텔레콤, 에이토즈 3개 사업자에 대해 총 129억 5444만 원의 과징금 및 1020만 원의 과태료를 부과했다고 31일 밝혔다. 또 재발방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결했다. 

개인정보위는 이들 사업자가 모두 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히해 개인정보가 유출됐다고 봤다.

GS리테일에는 과징금 128억 3600만 원, 과태료 300만 원이 부과됐다. 

개인정보위에 따르면 신원 미상의 해커는 GS리테일이 운영하는 GS SHOP 홈페이지에 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에는 2024년 12월 26일부터 2025년 1월 4일까지 ‘크리덴셜 스터핑’ 공격을 시도해 로그인에 성공했다. 크리덴셜 스터핑 공격은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속(로그인)을 시도하는 공격 방식이다. 

이후 회원정보 수정 페이지에서 접속해 GS SHOP에서 158만1025명, GS25에서 7만9128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 유출했다. 

GS리테일은 짧은 시간 동안 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았다. 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생했음에도 이를 인지하지 못해 장기간 유출이 지속됐다. 

GS리테일은 유출 사실을 인지한 뒤에도 적절한 대응을 하지 않아 GS SHOP에서 개인정보 유출이 추가로 이어졌다. 2025년 1월 4일 GS25 홈페이지에서 개인정보 유출을 처음 인지했음에도 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있다는 사실은 같은 해 2월이 돼서야 추가로 파악했다. 이에 따라 최초 유출 인지 이후인 1월 4일부터 2월 13일까지 개인정보 유출이 계속됐다.

GS25 홈페이지에서 개인정보 유출을 인지하고도 유출사고 대응을 충분히 하지 못해 GS SHOP 홈페이지에서 발생하던 동일한 공격을 즉시 파악하지 못했다. 이로 인해 최초 유출을 인지한 2025년 1월 4일 이후에도 2월 13일까지 개인정보 유출이 이어졌다. 특히 GS25 공격에 사용된 IP 주소 가운데 327개는 GS SHOP 공격에서도 동일하게 사용된 것으로 확인됐다. 

사고 당시 개인정보 전담조직이 없고 보안 운영이 이원화되는 등 개인정보 보호 조직의 구성·운영도 미흡했던 것으로 나타났다. 최초 유출 통지 이후 조사 과정에서 유출 대상자 1599명이 추가로 확인됐지만, 정당한 사유 없이 72시간이 지난 뒤 유출 사실을 통지한 점도 확인됐다.

이에 개인정보위는 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과하고, 홈페이지에 처분 사실을 공표하도록 명령했다.

또 서비스 접속량과 패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발 방지 대책을 마련하고, 개인정보 보호 전담인력 배치와 개인정보보호책임자(CPO)의 권한·책임 명확화 등 거버넌스 체계 전반을 점검·개선하도록 시정명령했다.

개인정보위는 엔라이즈에 대해 과징금 1억1844만원과 과태료 360만원을 부과했다. 엔라이즈가 운영하는 데이팅 앱에서는 신원 미상의 해커가 본인인증 취약점을 이용해 2023년 3월 23일부터 27일까지 1만6803개의 휴대전화번호로 로그인을 시도했다. 이 과정에서 736개 계정의 닉네임, 성별, 프로필 사진, 생년월일, 성격, 학력, 직업, 키, 혈액형 등 개인정보가 유출됐다.

조사 결과 엔라이즈는 앱 내 본인인증 취약점에 대한 점검·조치를 소홀히 하고, 동일 IP에서 발생하는 과다 접속을 차단하는 정책을 설정하지 않는 등 안전성 확보조치 의무를 위반한 것으로 확인됐다.

개인정보위는 SK텔레콤에 과태료 360만원과 시정명령을 내리고, 에이토즈에는 경고 처분했다.

에이토즈는 SK텔레콤으로부터 메타버스 서비스 ‘이프랜드’의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영했다. 이 과정에서 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출되면서 1140명의 이름과 휴대전화번호가 유출됐다.

조사 결과 에이토즈는 관리자 페이지에 대한 IP 주소 제한 등 접근통제 조치를 하지 않은 것으로 확인됐다. SK텔레콤은 개인정보 유출 사실을 인지한 뒤 24시간을 넘겨 유출 통지·신고한 것으로 나타났다.

해당 사건에는 구 개인정보보호법이 적용돼 정보통신서비스 제공자는 개인정보 유출을 인지한 뒤 24시간 이내에 유출 사실을 통지·신고해야 한다.

개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치, 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 강조했다. 또 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부했다.

GS리테일은 “당사는 주요 임원과 외부 전문가가 참여하는 ‘정보보안대책위원회’를 구성해 보안 대응 체계를 고도화하는 등 사고 이후 보안 시스템과 관리체계를 전면적으로 점검하고 정보보호 수준을 강화해 왔다”며 “고객 최우선 관점에서 전사 차원의 개인정보 보호를 주요 경영 과제로 삼고 임직원 교육과 내부 관리체계 정비 등 재발 방지를 위한 노력도 지속하고 있다. 앞으로도 고객 정보 보호와 개인정보 유출 재발 방지를 위해 최선을 다하겠다”고 말했다.