개인정보보호위원회에 따르면 ㈜지에스리테일에 대해 과징금 128억 3,600만 원과 과태료 300만 원을 부과하였다.

이번 처분은 개인정보 보호 법규를 위반한 ㈜지에스리테일 및 3개 사업자에 대한 것으로, 2026년 8월 26일 제17회 전체회의에서 의결되었다.

개인정보위는 유출사고 예방을 위한 구체적인 재발방지 대책 마련 및 개인정보 보호 조직 구성·운영 전반을 점검·개선할 것을 시정명령하였다.

이번 회의에서 부과된 총 과징금은 129억 5,444만 원이며, 과태료는 1,020만 원이다.

유출사고의 원인으로는 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 한 점이 지적되었다.

㈜지에스리테일은 GS25, GS SHOP, GS THE FRESH 등의 서비스를 운영하고 있으며, 해커는 GS SHOP 홈페이지에 대해 2024년 6월 21일부터 2025년 2월 13일 사이에 '크리덴셜 스터핑' 공격을 시도하였다.

이 공격으로 GS SHOP에서 1,581,025명, GS25에서 79,128명의 개인정보가 유출되었다.

㈜지에스리테일은 동일 IP 주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생하였음에도 이를 인지하지 못하였다.

또한, GS25 홈페이지에서의 유출을 2025년 1월 4일 최초 인지하였으나, 유출사고 대응에 소홀하여 GS SHOP 홈페이지에서도 동일한 공격이 발생하고 있던 사실을 2025년 2월이 되어서야 추가 인지하였다.

사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡하였고, 최초 유출통지 이후 조사과정에서 유출 대상자 1,599명이 추가 확인되었으나, 정당한 사유 없이 72시간을 경과하여 유출 통지한 사실도 확인되었다.

이에 개인정보위는 ㈜지에스리테일에 과징금 128억 3,600만 원과 과태료 300만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.

아울러 개인정보위는 유사 사고 재발을 막기 위해 서비스 접속량·패턴을 분석하여 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행할 것을 요구하였다.

또한, 신속한 사고대응을 위한 개인정보 보호 전담인력 배치 및 CPO의 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선할 것을 시정명령하였다.

이번 회의에서 ㈜엔라이즈에 대해서는 과징금 1억 1,844만 원과 과태료 360만 원이 부과되었으며, 에스케이텔레콤㈜은 과태료 360만 원과 시정명령을 받았다.

㈜에이토즈는 경고를 받았다.

개인정보위는 이번 처분을 통해 개인정보처리시스템 운영 시 인가받지 않은 접근을 제한하는 등의 접근통제 조치와 주기적인 취약점 점검·조치와 같은 기본 원칙을 준수할 것을 강조하였다.

또한, 개인정보 유출 사고가 발생할 경우 정보주체가 이를 신속하게 인지하고 대응할 수 있도록 72시간 내 유출 신고·통지를 실시할 것을 당부하였다.