개보위, 개인정보 166만명 유출 GS리테일에 과징금 128억원

무슨 일이 있었습니까?

개인정보보호위원회는 8월 26일 전체회의에서 개인정보 보호법을 위반한 GS리테일에 과징금 128억3,600만원과 과태료 300만원을 부과했습니다. 비정상 접속을 식별하는 보안정책, 개인정보 보호 전담인력, 개인정보보호책임자(CPO)의 권한과 책임을 포함한 재발 방지 대책도 명령했습니다. 처분 내용은 8월 31일 공개됐습니다.

공격자는 GS SHOP에 2024년 6월 21일부터 2025년 2월 13일까지, GS25에는 2024년 12월 26일부터 2025년 1월 4일까지 크리덴셜 스터핑 공격을 시도했습니다. 로그인에 성공한 뒤 회원정보 수정 화면에서 이름·성별·생년월일·연락처·주소·이메일 등을 빼냈습니다.

확인된 유출 대상자는 GS SHOP 158만1,025명과 GS25 7만9,128명, 모두 166만153명입니다. 개인정보위 발표에는 GS리테일 시스템에서 회원 비밀번호 자체가 유출됐다는 내용은 없습니다.

핵심은 단순한 ‘해킹 피해’가 아니라 관리 실패입니다

외부 공격을 받았다는 사실만으로 기업의 책임이 사라지지는 않습니다. 개인정보위 조사에 따르면 GS리테일은 짧은 시간 같은 IP에서 발생한 대규모 로그인 시도를 탐지·차단할 대책을 마련하지 않았고, 로그인 시도와 실패가 급증하는 이상징후도 인지하지 못했습니다.

더 심각한 대목은 사고를 알고 난 뒤의 대응입니다. GS리테일은 2025년 1월 4일 GS25의 유출을 인지했지만, GS SHOP에서 같은 공격이 진행되고 있다는 사실은 한 달여 뒤에야 파악했습니다. GS25 공격에 사용된 IP 가운데 327개가 GS SHOP 공격에도 사용됐는데도 2월 13일까지 추가 유출이 이어졌습니다.

사고 당시 개인정보 전담조직이 없고 보안 운영이 이원화돼 있었다는 조사 결과도 나왔습니다. 이것은 공격 기술이 지나치게 고도화돼 막을 수 없었다는 설명만으로 넘기기 어려운 조직과 경영의 문제입니다.

확인된 사실과 아직 확인되지 않은 부분을 구분합니다

• 확인된 사실: 개인정보위는 GS리테일이 접근통제 등 안전조치 의무를 위반했다고 판단했습니다.
• 확인된 사실: 최초 통지 뒤 추가로 확인된 1,599명에게 정당한 사유 없이 법정기한 72시간을 넘겨 유출 사실을 알렸습니다.
• 확인되지 않은 부분: 공격자의 신원과 아이디·비밀번호를 최초로 확보한 경로는 공개되지 않았습니다.
• 확인되지 않은 부분: 유출 정보가 보이스피싱·스미싱·신원도용 같은 2차 범죄에 실제 이용됐는지는 현재 공개자료만으로 확인되지 않습니다.
• 확인되지 않은 부분: GS리테일이 처분에 불복할지, 피해 시민을 위한 별도 배상·지원책을 마련할지는 공식적으로 확인되지 않았습니다.

과징금 128억원으로 사건이 끝나서는 안 됩니다

과징금은 위반에 대한 책임을 묻는 수단이지 시민의 피해가 회복됐다는 증거가 아닙니다. 중요한 것은 같은 공격을 다시 막을 수 있는지, 피해자에게 필요한 정보와 대응 수단을 충분히 제공했는지, 회사가 발표한 개선책을 외부가 검증할 수 있는지입니다.

GS리테일은 보안 시스템과 관리체계를 전면 점검하고, 주요 임원과 외부 전문가가 참여하는 정보보안대책위원회를 구성했다고 밝혔습니다. 이제는 ‘강화했다’는 선언을 넘어 다중인증 도입 범위, 이상접속 차단 성과, 전담조직의 권한과 인력, 외부 점검 결과를 시민이 확인할 수 있어야 합니다.

개인정보위도 처분 발표에서 멈춰서는 안 됩니다. 시정명령 이행 여부와 개선 성과를 일정한 시점에 다시 점검하고, 그 결과를 공개해야 합니다. 유능한 국가는 큰 과징금을 한 번 부과하는 국가가 아니라 같은 실패가 반복되지 않도록 규칙을 끝까지 작동시키는 국가입니다.

피해 가능성이 있는 시민은 무엇을 해야 합니까?

이 조치는 시민이 추가 피해를 줄이기 위한 대응입니다. 시민이 같은 비밀번호를 사용했다는 사정이 대규모 이상접속을 탐지하고 개인정보를 보호해야 할 기업의 법적 책임과 같은 무게로 취급돼서는 안 됩니다.

• GS SHOP·GS25와 같은 비밀번호를 쓰는 다른 서비스가 있다면 즉시 서로 다른 비밀번호로 바꾸십시오.
• 가능한 서비스에서는 다중인증을 켜고, 본인이 요청하지 않은 인증번호·배송·결제 안내를 특히 주의하십시오.
• 유출 통지를 받았다면 통지 내용과 이후 발생한 의심 문자·전화·결제 기록을 보관하십시오.
• 개인정보 침해 상담은 국번 없이 118, 손해배상·분쟁조정은 개인정보분쟁조정위원회를 이용할 수 있습니다.

시민이 지켜볼 점

• GS리테일이 개인정보위의 시정명령을 언제까지 어떤 수치와 기준으로 이행하는가
• 정보보안대책위원회의 구성·권한·점검 결과를 시민에게 공개하는가
• 2차 피해가 확인될 경우 피해 접수·구제·배상 절차를 마련하는가
• 개인정보위가 과징금 부과 뒤 시정명령의 이행 여부와 재발 방지 성과를 다시 공개하는가

씨드의 관점

이번 사건의 1차 책임은 GS리테일에 있습니다. 시민이 기업을 신뢰하고 정보를 맡겼다면, 기업은 그 정보를 안전하게 보관하고 이상징후를 발견했을 때 즉시 피해 확산을 막아야 합니다. 첫 사고를 안 뒤에도 같은 공격을 한 달 넘게 막지 못했다는 조사 결과는 단순 실수가 아니라 책임 구조의 실패로 보아야 합니다.

씨드는 시장의 자율성을 지지합니다. 그러나 시장의 자유는 책임을 면제받는 특권이 아닙니다. 개인정보 보호비용을 충분히 부담하지 않은 채 사고의 불안과 손실을 시민에게 넘긴다면 시장의 신뢰 자체가 무너집니다. 기업의 자율은 소비자 선택권, 투명한 정보공개, 위반에 대한 분명한 책임과 함께 있을 때 정당합니다.

국가의 역할도 분명해야 합니다. 기업 경영을 일일이 지시하는 거대한 국가가 아니라, 명확한 규칙을 세우고 위반을 조사하며 시정명령과 피해구제가 실제로 이행되는지 끝까지 확인하는 제한되고 유능한 국가가 필요합니다. 시민의 비밀번호 관리도 중요하지만, 그것은 피해를 줄이는 자기보호이지 기업 책임을 나누어 지는 근거가 아닙니다.