GS리테일 유출사고, 166만명 규모에 128억 과징금…개인정보위가 지적한 이유

무슨 일: 개인정보보호위원회가 GS리테일 유출사고에 과징금 128억 3,600만 원과 과태료 300만 원을 부과했습니다.
왜 중요한가: GS SHOP 1,581,025명과 GS25 79,128명, 합계 1,660,153명의 유출 규모가 공식 발표로 확인됐습니다.
아직 모르는 것: 이번 보도자료에는 개인별 피해 판정·보상·개별 확인 경로가 제시되지 않았습니다.

개인정보보호위원회는 2026년 8월 26일 제17회 전체회의 의결을 통해 GS리테일에 과징금 128억 3,600만 원과 과태료 300만 원을 부과하고, 유출 재발방지와 개인정보 보호 조직 점검을 시정명령했습니다.

공식 발표는 유출 규모를 GS SHOP 1,581,025명, GS25 79,128명으로 각각 제시했습니다. 두 서비스의 공표 수치를 합치면 1,660,153명이며, 처분 금액만이 아니라 유출 범위와 재발방지 조치까지 함께 공개된 사안입니다.

이 글은 개인정보위가 직접 공표한 처분·유출 범위·시정명령만 정리합니다. 개인이 실제 피해를 입었는지, 보상 대상인지, 어떤 조치를 해야 하는지는 이 보도자료만으로 판단할 수 없는 별도 범위입니다.

Table of Contents

1. GS SHOP과 GS25에서 공식 확인된 유출 규모는?

개인정보위 보도자료에 따르면 유출 규모는 GS SHOP 1,581,025명, GS25 79,128명입니다. 합계 1,660,153명이라는 수치는 두 서비스별 공표 수치를 더한 값이며, 유출 대상 서비스와 범위를 구분해 볼 필요가 있습니다.

공개된 개인정보 항목의 예시로는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 언급됐습니다. 다만 보도자료는 개별 이용자별로 어떤 항목이 유출됐는지까지 나누어 공개하지는 않았습니다.

개인정보위는 신원 미상의 해커가 이미 확보한 아이디와 비밀번호를 무차별 대입하는 ‘크리덴셜 스터핑’ 방식으로 로그인을 시도했다고 설명했습니다. 이후 회원정보 수정 페이지에 접속해 정보가 유출됐다는 것이 공식 발표의 핵심 경위입니다.

보도자료에 적힌 기간은 GS SHOP이 2024년 6월 21일부터 2025년 2월 13일, GS25가 2024년 12월 26일부터 2025년 1월 4일입니다. 개인정보위는 대규모 로그인 시도와 로그인 실패율 증가 같은 이상징후를 제때 인지하지 못한 점도 지적했습니다.

GS리테일에 부과된 처분은 과징금 128억 3,600만 원과 과태료 300만 원입니다. 개인정보위는 이와 함께 사업자 홈페이지에 처분 사실을 공표하도록 명령했습니다.

이번 처분은 단순히 금액만 확인하는 사안이 아닙니다. 개인정보위는 개인정보처리시스템 접근통제와 내부 관리계획의 이행, 유출 통지 지연 문제를 위반 내용으로 제시했습니다. 따라서 처분의 초점은 유출 이후의 대응뿐 아니라 사전 탐지와 조직 운영에도 놓여 있습니다.

시정명령에는 서비스 접속량과 패턴을 분석해 비정상 접속을 식별하는 보안정책을 적용하고, 재발방지 대책을 수립·시행하라는 내용이 담겼습니다. 개인정보 보호 전담인력 배치와 CPO의 권한·책임을 포함한 거버넌스 체계 전반의 점검·개선도 요구됐습니다.

반대로 이 발표만으로는 개인별 피해 여부, 보상 방식, 이용자별 유출 항목, 개별 확인 절차를 확정할 수 없습니다. 공개된 사실과 아직 공표되지 않은 사실을 분리해 보는 것이 중요하며, 이 글도 개인별 판단이나 보상 가능성을 추정하지 않습니다.

정리하면 이번 발표에서 공식 확인된 것은 서비스별 유출 규모, 처분 금액, 공격 경위와 재발방지 명령입니다. 자세한 처분 근거는 개인정보보호위원회 보도자료와 공식 첨부자료(PDF)에서 확인할 수 있습니다.