GS리테일 166만 명 정보유출 과징금 128억, 다음날부터 통지 의무가 더 세졌다

[핵심요약] GS리테일이 크리덴셜 스터핑 공격으로 166만 명 정보가 유출돼 128억 원 과징금을 받았고, 바로 다음날인 9월 11일부터는 유출 가능성만 있어도 72시간 안에 알려야 하는 개정법이 시행됐어요.

2026년 8월 말, 개인정보보호위원회가 GS리테일에 과징금 128억 3,600만 원과 과태료 300만 원을 부과했어요. GS샵과 GS25 홈페이지가 크리덴셜 스터핑 공격을 당해 회원 166만여 명의 이름, 생년월일, 연락처, 주소, 이메일이 새어나간 사건의 결과예요. 공격은 2025년 초부터 이어지고 있었는데 회사는 한참 뒤에야 알아챘어요. 공교롭게도 이 처분이 알려진 지 얼마 안 된 9월 11일부터는, 유출이 확정되지 않고 '가능성'만 있어도 72시간 안에 통지해야 하는 개정 개인정보보호법이 시행에 들어갔어요.

GS리테일에서 무슨 일이 있었나?

크리덴셜 스터핑은 다른 사이트에서 유출된 아이디·비밀번호 조합을 대량으로 긁어와 여러 서비스에 무차별로 대입해보는 공격이에요. 자동화된 프로그램이 짧은 시간에 수백, 수천 번씩 로그인을 시도해서 평소와 다른 트래픽 패턴이 뚜렷하게 나타나요. 그런데 개인정보보호위원회 조사 결과 GS리테일은 이 신호를 놓쳤어요. 동일 IP에서 몰리는 대규모 로그인 시도를 탐지·차단하는 체계가 없었고, 로그인 실패 건수 급증도 알아채지 못했어요. 공격자는 로그인에 성공한 계정으로 회원정보 수정 페이지까지 접근해 개인정보를 빼갔어요. 여기에 개인정보 전담 조직 부재, 흩어진 보안 운영 체계, 유출자 1,599명 추가 확인 후 법정 기한(72시간)을 넘긴 통지, 불명확했던 CPO 권한까지 겹쳤어요. 공격 하나가 아니라 탐지·조직·통지 체계가 동시에 뚫린 사고예요.

왜 이 사고가 지금 더 중요해졌나?

GS리테일 사건 자체는 2025년 초 시작됐지만, 지금 다시 주목받는 이유는 처분 시점과 법 개정 시행 시점이 거의 맞물렸기 때문이에요. 법률 제21445호에 따라 9월 11일부터 시행된 개정 개인정보보호법은 통지 의무 기준선을 확 낮췄어요. 예전엔 유출이 실제로 확인돼야 통지 의무가 생겼지만, 이제는 불법 접근이 발생해 유출이 의심되거나 일부 유출 확인만으로도 다른 정보주체의 유출 가능성이 인정되면 72시간 안에 통지해야 해요. '확실해지면 알린다'가 아니라 '의심되면 바로 알린다'로 바뀐 거예요. 위·변조·훼손도 통지·신고 대상에 포함됐고, 중대·반복 위반 시 과징금 상한은 매출액의 10%까지 올라가요. GS리테일의 128억 원은 새 기준 적용 전 금액인데도 이 정도였다는 뜻이라, 앞으로는 처분 수위가 더 올라갈 가능성이 커요.

우리 회사도 대비하려면?

가장 먼저 점검할 건 로그인 시도를 실시간으로 감시하는 체계가 실제로 작동하는지예요. 자동 차단·알림 룰을 넣어놓고도 실제 테스트는 안 해본 회사가 많아요. 두 번째는 통지 프로세스예요. 이제 '의심' 시점부터 시계가 돌아가기 때문에, 이상 징후를 인지한 순간 누구에게 보고하고 며칠 안에 어떤 절차로 통지할지 미리 정리해둬야 해요. 사고 이후 매뉴얼을 만들면 72시간의 상당 부분을 이미 흘려보낸 뒤예요. 세 번째는 CPO 권한이에요. 개정법은 CPO 지정에 이사회 의결과 신고 의무를 요구하는데, 이름만 걸어놓는 자리가 아니라 실제 예산과 결정권을 가진 자리여야 한다는 뜻이에요.

이런 체크리스트로 지금 바로 자가진단해 보세요.

• 짧은 시간에 동일 IP 주소에서 몰리는 로그인 시도를 탐지·차단하는 시스템이 실제로 작동 중인지 확인해 보세요
• 평소보다 로그인 실패 건수가 급증한 이력이 최근에 있었는지 로그를 살펴보세요
• 로그인에 성공하기만 하면 회원정보 수정 페이지까지 바로 접근되는 구조는 아닌지 점검해 보세요
• 유출이 의심되는 순간부터 72시간 안에 통지할 수 있는 사내 프로세스가 문서로 정리돼 있는지 확인해 보세요
• 개인정보보호책임자가 실질적인 예산과 결정권을 가지고 있는지 짚어 보세요
• 개인정보 보호 업무가 여러 조직에 흩어져 있지는 않은지, 책임 소재가 명확한지 확인해 보세요

크리덴셜 스터핑은 우리 회사 비밀번호 정책이 약해서 당하는 건가요?

꼭 그렇지는 않아요. 다른 사이트에서 유출된 아이디·비밀번호를 그대로 가져와 시도하는 공격이라, 이용자의 비밀번호 재사용이 원인의 큰 부분을 차지해요. 개인정보보호위원회가 지적한 진짜 문제는 비밀번호 규칙이 아니라, 짧은 시간에 몰리는 비정상 로그인 시도를 탐지·차단하지 못한 부분이었어요.

유출 '가능성'만으로 통지해야 한다니, 오탐이면 어떡하나요?

개정법은 불법 접근으로 유출이 의심되거나, 일부 유출 확인으로 다른 정보주체 유출 가능성이 인정될 때를 기준으로 삼아요. 막연한 우려가 아니라 실제 포착된 침해 정황 기준이라, 평소 로그 모니터링 체계를 갖춰두는 게 오탐과 늑장 대응을 동시에 줄이는 방법이에요.

과징금 128억 원은 어느 정도 수준인가요?

이번 처분은 개정법 시행 전 기준 금액이에요. 개정법은 중대·반복 위반에 대해 과징금 상한을 매출액의 10%까지 올려놨기 때문에, 매출 규모가 큰 기업일수록 앞으로는 이보다 훨씬 큰 금액이 나올 수 있어요.

GS리테일 사건은 정교한 해킹 기법이 아니라, 이미 알려진 크리덴셜 스터핑을 탐지 체계 없이 방치해 키운 사고예요. 하필 처분 다음날부터 통지 기준이 더 엄격해졌고, 앞으로 비슷한 사고는 더 빠르고 무겁게 책임으로 이어질 거예요. '확실해지면 대응한다'는 이제 통하지 않아요.

이번 사고처럼 계정 인증이 뚫려 문제가 커지는 경우, 핵심은 뚫려도 정말 중요한 자산까지는 못 건드리게 막아두는 구조예요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스는 관리자 인증이 뚫려도 백업 데이터만큼은 따로 지켜줘요. 계정이 뚫려도 왜 백업까지는 안전한지 궁금하다면 여기서 확인해보세요.