종합/공지

GS리테일 166만 명 개인정보 유출… ‘비밀번호 재사용’이 대형 사고로 번졌다.

유출 사고에 대해 과징금 128억3,600만 원과 과태료 300만 원을 부과했다. 해커는 ‘크리덴셜 스터핑’ 방식으로 GS SHOP과 GS25 회원정보에 접근했다.

개인정보 유출 사고가 또다시 대형 유통 플랫폼에서 발생했다.

개인정보보호위원회는 8월 31일 GS리테일 유출 사고와 관련해 과징금 128억3,600만 원, 과태료 300만 원을 부과하고 시정명령과 공표명령을 내렸다고 밝혔다.

이번 사고의 핵심은 크리덴셜 스터핑이다. 이는 다른 곳에서 이미 유출된 아이디와 비밀번호를 여러 사이트에 대입해 로그인을 시도하는 공격 방식이다. 사용자가 여러 서비스에서 같은 비밀번호를 쓰면, 한 곳의 유출이 다른 서비스 침해로 이어질 수 있다.

개인정보위에 따르면 해커는 GS SHOP 홈페이지에 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에는 2024년 12월 26일부터 2025년 1월 4일까지 공격을 시도했다. 그 결과 GS SHOP에서 158만1,025명, GS25에서 7만9,128명의 개인정보가 유출됐다. 유출 항목에는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됐다.

문제는 공격 자체보다 대응의 지연이다. 개인정보위는 GS리테일이 짧은 시간 동안 동일 IP에서 대규모 로그인 시도가 발생했는데도 이를 탐지·차단할 대책을 마련하지 않았고, 로그인 실패 급증 같은 이상 징후도 장기간 인지하지 못했다고 설명했다. GS25 유출을 먼저 인지한 뒤에도 GS SHOP에서 같은 유형의 공격이 이어졌다는 점도 지적됐다.

이번 사건은 유통기업의 개인정보가 단순 회원정보를 넘어 생활 데이터라는 점에서 의미가 크다. 이름, 휴대전화번호, 주소, 이메일이 결합되면 택배 사칭 문자, 고객센터 사칭 전화, 포인트 환급 피싱 등 2차 피해로 이어질 수 있다.

이번 사고의 핵심은 개인 비밀번호 습관과 기업의 이상징후 탐지 실패가 결합하면 대형 유출로 커질 수 있다는 점이다.

기업은 “비밀번호를 맞게 입력했으니 정상 로그인”이라고 판단해서는 안 된다. 짧은 시간에 반복되는 로그인 시도, 특정 IP의 대량 접속, 로그

인 실패율 급증은 명백한 위험 신호다.