개인정보보호위원회는 지난 26일 전체회의를 열고 GS리테일의 개인정보 보호 법규 위반에 대한 제재를 의결했다고 31일 밝혔다. 조사 결과, 해커는 타 사이트에서 확보한 아이디와 비밀번호를 무작위로 대입하는 '크리덴셜 스터핑' 방식을 이용해 GS리테일 홈페이지에 침투했다. 이 공격으로 GS SHOP에서 158만 1025명, GS25에서 7만 9128명의 이름, 연락처, 주소 등 개인정보가 유출됐다. GS리테일은 동일 IP에서 발생하는 대규모 로그인 시도를 탐지·차단하는 대책을 마련하지 않았으며, 이상 징후를 제때 파악하지 못해 유출이 장기간 지속된 것으로 확인됐다. 특히 GS25의 유출을 인지한 이후에도 GS SHOP에서 진행 중인 동일한 공격을 한 달 뒤에야 추가로 파악하는 등 대응이 미흡했다. 또한 개인정보 보호 전담 조직 부재와 이원화된 보안 운영 체계가 문제로 지적됐으며, 추가 확인된 피해자 1599명에 대해 법정 기한인 72시간을 넘겨 통지한 사실도 드러났다. 개인정보위는 GS리테일에 재발 방지 대책 수립과 전담 인력 배치 등 시정명령을 내리고 처분 결과를 홈페이지에 공표하도록 했다. 한편, 이번 회의에서는 엔라이즈에 과징금 1억 1844만 원과 과태료 360만 원, SK텔레콤에 과태료 360만 원과 시정명령, 에이토즈에 경고 처분이 각각 내려졌다.