GS리테일 고객정보 유출｜공격 경위와 확인된 영향

이번 조사에서 새로 확정된 내용

개인정보보호위원회가 2026년 8월 31일 공개한 조사 결과는 2025년 초 알려졌던 GS리테일 개인정보 유출 사고의 규모를 되풀이하는 데 그치지 않았습니다. 공격이 GS SHOP과 GS25 두 서비스에서 어떻게 이어졌는지, 첫 사고를 인지한 뒤에도 다른 서비스의 유출을 왜 바로 끊지 못했는지, 어떤 로그인 이상징후가 누락됐는지가 구체적으로 정리됐습니다. 개인정보위는 GS리테일에 과징금 128억3,600만원과 과태료 300만원을 부과하고, 재발 방지 대책과 개인정보 보호 거버넌스 개선, 처분 결과 공표를 명령했습니다.

확정된 영향은 GS SHOP 회원 158만1,025명과 GS25 회원 7만9,128명입니다. 공격자는 다른 곳에서 확보한 아이디와 비밀번호를 대량으로 대입하는 크리덴셜 스터핑 방식으로 로그인을 시도했고, 로그인에 성공한 뒤 회원정보 수정 화면에 접근했습니다. 조사에서 확인된 정보에는 이름, 성별, 생년월일, 연락처, 주소, 이메일 등이 포함됩니다. GS SHOP 쪽은 앞서 회사가 안내한 유출 항목에 아이디, 결혼 여부, 결혼기념일, 개인통관고유부호도 포함됐습니다. 따라서 안내를 받은 이용자는 단순히 비밀번호 하나만 바꾸기보다, 같은 로그인 정보를 재사용한 다른 계정과 주문·배송 정보를 악용한 사칭 연락까지 함께 점검할 필요가 있습니다.

공격 기간과 연쇄 대응 지연

GS SHOP에서는 2024년 6월 21일부터 2025년 2월 13일까지 공격이 이어졌고, GS25에서는 2024년 12월 27일부터 2025년 1월 4일까지 공격이 발생했습니다. GS리테일은 2025년 1월 4일 GS25 유출을 먼저 인지했지만, GS SHOP에서 같은 공격이 진행 중이라는 사실은 한 달여 뒤인 2월에 추가로 파악했습니다. 첫 유출 인지 뒤에도 GS SHOP의 개인정보 노출이 2월 13일까지 계속된 셈입니다.

두 서비스의 공격 기록은 서로 분리된 사건으로 보기 어려운 단서를 갖고 있었습니다. 개인정보위 조사에 따르면 GS25 공격에 사용된 IP 주소 가운데 327개가 GS SHOP 공격에도 동일하게 사용됐습니다. 한 서비스에서 사고를 발견한 시점에 공통 IP와 로그인 패턴을 다른 서비스 전체로 확장해 비교했다면 확인 범위를 더 빠르게 좁힐 수 있었던 신호입니다. 이번 발표의 중요한 변화는 단순한 유출 규모가 아니라, 같은 조직이 운영하는 서비스 사이에서 사고 정보를 연결하지 못해 추가 노출을 막지 못한 경위가 공식 조사로 확정됐다는 점입니다.

크리덴셜 스터핑이 성공한 경로

크리덴셜 스터핑은 공격자가 한 서비스의 취약점을 직접 뚫어 비밀번호를 빼내는 방식과 다릅니다. 이미 다른 곳에서 유출된 아이디와 비밀번호 조합을 여러 웹사이트와 앱에 자동으로 대입해 재사용 계정을 찾습니다. 로그인에 성공하면 정상 이용자와 같은 권한으로 마이페이지나 회원정보 화면에 들어갈 수 있으므로, 계정마다 다른 비밀번호를 사용하지 않은 이용자와 비정상 로그인을 걸러내지 못한 서비스가 동시에 위험해집니다.

개인정보위는 동일 IP에서 짧은 시간 동안 대규모 로그인 시도가 발생하는 상황을 탐지·차단할 대책이 마련되지 않았고, 로그인 시도와 실패가 급격히 증가하는 이상징후도 인지하지 못했다고 판단했습니다. 개인정보위가 별도로 공개한 크리덴셜 스터핑 판단 기준에서도 동일 IP의 시간당 접속 시도, 평상시 대비 로그인 시도 증가, 로그인 실패율, 사람이 수행하기 어려운 반복 속도를 주요 신호로 제시합니다. 특정 숫자 하나만 넘으면 공격으로 단정하는 방식이 아니라 서비스의 정상 이용 패턴과 여러 지표를 함께 비교해야 한다는 취지입니다.

로그인 성공 이후에는 회원정보 수정 화면이 개인정보 노출 지점이 됐습니다. 회원정보 화면은 주소와 연락처처럼 주문·배송에 필요한 정보를 한 번에 보여주는 경우가 많아, 계정 탈취가 곧 개인정보 열람으로 이어질 수 있습니다. 이 때문에 로그인 단계의 속도 제한과 이상행위 탐지뿐 아니라, 민감한 정보의 마스킹, 중요 정보 조회·변경 시 추가 본인확인, 새로운 기기 로그인 알림 같은 여러 층의 방어가 필요합니다.

조사에서 확인된 운영상 문제

사고 당시 개인정보 보호 전담조직이 없었고 보안 운영이 이원화돼 있었다는 점도 처분 근거에 포함됐습니다. 기술 장비가 있더라도 서비스별 로그와 사고 대응 권한이 나뉘어 있으면, 한 서비스에서 발견한 공격 지표가 다른 서비스로 즉시 전달되지 않을 수 있습니다. 이번 사건에서는 공통 IP 327개가 그런 연결 실패를 보여주는 구체적인 단서가 됐습니다.

통지 과정의 지연도 확인됐습니다. 최초 통지 이후 개인정보위 조사 과정에서 유출 대상자 1,599명이 추가로 확인됐지만, 정당한 사유 없이 72시간이 지나 통지한 사실이 조사 결과에 포함됐습니다. 사고 규모를 계속 조사하는 동안에도 새로 확인된 대상자에게는 신속한 안내가 필요합니다. 이용자가 비밀번호 재사용 여부를 점검하고 사칭 연락을 경계할 시간을 확보하려면, 추가 대상자 확인과 통지가 별도의 후순위 업무가 되어서는 안 됩니다.

개인정보위는 비정상 접속 식별용 보안정책, 재발 방지 대책, 개인정보 보호 전담인력 배치, 최고개인정보보호책임자의 권한과 책임을 포함한 거버넌스 개선을 시정명령했습니다. 이는 로그인 실패율과 IP 반복 접속을 보는 기술 통제, 여러 서비스의 사고 단서를 공유하는 운영 절차, 대상자에게 제때 알리는 통지 체계를 하나의 대응 과정으로 묶어야 한다는 의미입니다.

이용자 점검 우선순위

GS SHOP 또는 GS25의 유출 안내를 받은 이용자는 먼저 문자나 메일의 링크를 누르기보다 공식 앱을 직접 열거나 주소를 직접 입력해 공지와 계정 상태를 확인하는 편이 안전합니다. 안내문에 적힌 자신의 유출 항목을 확인하면 이후 조치의 범위를 정하기 쉽습니다. 연락처와 주소, 주문 관련 정보가 포함됐다면 배송 오류·환불·통관 확인을 가장한 연락이 실제 주문처럼 보일 수 있으므로 발신자가 일부 정보를 제시하더라도 그것만으로 진위를 판단하지 않아야 합니다.

1. GS SHOP과 GS25에서 재사용한 비밀번호가 있다면 우선 변경합니다.
2. 같은 아이디·비밀번호 조합을 쓴 이메일, 쇼핑몰, 포털 계정도 각각 다른 비밀번호로 바꿉니다.
3. 서비스가 제공하는 경우 2단계 인증과 새로운 로그인 알림을 켭니다.
4. 최근 로그인 기록, 배송지, 연락처, 주문내역의 낯선 변경이 있는지 공식 화면에서 확인합니다.
5. 주문·배송·환불·통관을 내세운 연락은 메시지 속 링크와 전화번호를 사용하지 않고 공식 고객센터에서 다시 확인합니다.

비밀번호를 바꿀 때는 예전에 쓰던 비밀번호의 끝자리만 바꾸거나 서비스 이름을 붙이는 방식보다, 계정마다 길고 고유한 값을 만드는 편이 낫습니다. 비밀번호 관리자를 사용하면 여러 계정에 서로 다른 값을 적용하기 쉬워집니다. 이메일 계정은 다른 서비스의 비밀번호 재설정 링크를 받을 수 있으므로 특히 우선순위를 높여야 합니다. 이메일과 쇼핑 계정에 동일한 비밀번호를 사용했다면 두 계정을 함께 변경하고 로그인 세션과 복구 수단도 점검해야 합니다.

기업이 재발 방지를 확인할 기준

이번 사건을 운영 관점에서 보면 비정상 로그인 탐지, 서비스 간 사고 연계, 개인정보 노출 최소화, 신속한 통지가 서로 분리된 체크리스트가 아닙니다. 동일 IP의 반복 시도와 실패율 급증을 탐지한 뒤 해당 지표를 조직 내 모든 소비자 서비스로 확장 검색하고, 성공 계정의 개인정보 조회 기록을 확인하며, 영향받은 이용자를 지속적으로 갱신해 통지하는 하나의 흐름으로 설계해야 합니다.

• 정상 트래픽 기준선과 비교한 로그인 시도·실패율 모니터링
• 동일 IP·기기·세션의 과도한 계정 전환과 반복 접근 제한
• 사고 지표를 전 서비스에 즉시 배포하는 공통 대응 절차
• 회원정보 화면의 마스킹과 중요 조회·변경 시 추가 인증
• 추가 대상자 발견 즉시 반영하는 통지·신고 관리
• 개인정보 보호 전담인력과 CPO의 의사결정 권한 명확화

이 사건의 핵심은 비밀번호 재사용이라는 이용자 측 위험만으로 설명되지 않습니다. 자동화된 대량 로그인과 급격한 실패율, 서비스 사이에 겹친 327개 IP, 첫 사고 인지 후 이어진 추가 유출은 사업자가 탐지하고 연결해야 할 신호였습니다. 이용자는 재사용 비밀번호를 끊고 사칭 연락을 확인하는 조치를 맡고, 서비스 운영자는 공격 신호를 여러 채널에서 한 사건으로 묶어 대응하는 체계를 갖춰야 같은 방식의 연쇄 피해를 줄일 수 있습니다.

또한 사고 대응 훈련은 서비스 한 곳의 담당자만 참여하는 방식보다, 계정·주문·고객센터·개인정보 담당자가 같은 지표를 공유하는 형태가 적합합니다. 공격 IP와 계정 목록, 성공 로그인 뒤의 개인정보 조회 기록, 추가 통지 대상을 같은 사건 번호로 관리하면 후속 조사에서 새 단서가 나왔을 때 다른 서비스까지 곧바로 확인할 수 있습니다. 이번 처분은 이 연결 과정이 실제 피해 확산을 줄이는 운영 통제라는 점을 보여줍니다.