GS리테일 166만 명 개인정보 유출, 과징금 128억 원 부과! 사건 원인부터 대응법까지 총정리

 

 

 

 

GS리테일 166만 명 개인정보 유출, 과징금 128억 원 부과! 사건 원인부터 대응법까지 총정리

 

안녕하세요. 오늘은 최근 유통 및 IT 업계에서 가장 뜨거운 이슈로 떠오른 GS리테일의 개인정보 유출 사고 및 과징금 부과 소식을 정리해 드리려고 합니다.

우리가 자주 이용하는 GS SHOP과 GS25에서 회원 약 166만 명의 개인정보가 빠져나간 데다, 과징금 액수만 무려 128억 원이 넘어 큰 파장이 일고 있는데요. 사건의 전말과 원인, 그리고 소비자 입장에서 체크해야 할 유출 대처법까지 자세히 알아보겠습니다.

---

1. 사건의 전말: 무려 166만 명의 데이터가 털렸다?

개인정보보호위원회(개보위)는 최근 전체회의를 열고 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억 3,600만 원, 과태료 300만 원을 부과하고 시정명령을 의결했습니다.

• 피해 규모: 총 1,660,153명
• GS SHOP: 1,581,025명
• GS25: 79,128명
• 유출된 개인정보 항목: 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 주요 인적사항

---

2. 해커는 어떻게 뚫었을까? '크리덴셜 스터핑' 공격

이번 해킹 사건에서 사용된 수법은 크리덴셜 스터핑(Credential Stuffing) 방식입니다.

💡 크리덴셜 스터핑이란?

해커가 이미 다른 사이트에서 불법적으로 수집해둔 '아이디/비밀번호' 목록을 다른 웹사이트에 무차별적으로 대입해 로그인을 시도하는 공격 기법입니다. 동일한 계정 정보(아이디·비밀번호)를 여러 사이트에서 돌려 쓰는 이용자들의 습관을 노린 전형적인 사이버 범죄입니다.

해커는 GS SHOP과 GS25 홈페이지에 이 방식으로 로그인을 성공시킨 뒤, '회원정보 수정' 페이지에 접속해 저장된 회원 정보들을 대량으로 빼돌린 것으로 확인되었습니다.

---

3. 개보위가 지적한 GS리테일의 3가지 관리 미흡

개인정보보호위원회가 이번 사건에 100억 원대가 넘는 중과징금을 부과한 배경에는 단순 해킹 피해를 넘어 보안 관리 및 초기 대응 체계의 부실이 크게 작용했습니다.

1. 이상 징후 탐지 및 차단 시스템 부재

• 짧은 시간 동안 동일한 IP에서 대규모 로그인 시도 및 실패가 폭증했음에도 이를 적시에 탐지하고 차단하는 보안 대책이 미비했습니다.

1. 사고 대응 지연 및 한 달간의 방치

• GS리테일은 최초 GS25 유출 사실을 인지했음에도, 동일한 IP 327개가 GS SHOP 공격에도 똑같이 쓰이고 있다는 사실을 한 달이 지나서야 파악했습니다.

1. 개인정보 보호 거버넌스 부실

• 사고 당시 전담 조직이 없었으며 보안 운영 체계가 이원화되어 초기 모니터링 및 전사적 대응이 이뤄지지 못했습니다. 또한 지연 통지(72시간 초과) 문제도 적발되었습니다.

---

4. GS리테일의 반응과 향후 조치

이에 대해 GS리테일 측은 정보보안대책위원회를 신설하고 보안 대응 체계를 고도화하겠다고 발표했습니다.

하지만 대형 유통 플랫폼으로서 고객 개인정보 보호 책임을 소홀히 했다는 비판은 피하기 어려울 것으로 보이며, 개보위의 시정명령에 따라 개인정보보호책임자(CPO) 권한 강화 및 조직 전반의 거버넌스 재편을 이행해야 하는 상황입니다.

---

5. 소비자 행동 요령: 지금 당장 해야 할 3가지!

GS SHOP이나 GS25(GS Pay 등) 계정을 이용해 오셨던 분들이라면 2차 피해 방지를 위해 즉시 아래 조치를 취하는 것을 권장합니다.

1. 비밀번호 즉시 변경: 다른 사이트와 동일한 비밀번호를 사용 중이라면 영문·숫자·특수문자를 조합한 고유 비밀번호로 바꾸세요.
2. 2단계 인증(2FA) 설정: 로그인 시 휴대폰 인증이나 앱 인증을 추가하여 무단 접속을 차단해야 합니다.
3. 스미싱·피싱 문자 주의: 유출된 인적사항을 악용한 출처 불명의 스팸 문자나 링크(URL)는 절대 클릭하지 마세요.

---

이번 GS리테일 유출 사고는 '동일 비밀번호 재사용'의 위험성과 '기업의 보안 모니터링 부실'이 결합되었을 때 얼마나 큰 피해로 이어지는지 보여준 대표적인 사례입니다. 개인정보 유출 여부를 꼭 체크해 보시고 보안 설정을 강화하시기 바랍니다!

​