개인정보보호위원회는 지난 26일 전체회의를 열고 GS리테일의 개인정보 보호법 위반 행위에 대해 이같이 의결했다고 31일 밝혔다. 조사 결과, 신원 미상의 해커는 다른 경로로 확보한 아이디와 비밀번호를 무차별 대입하는 '크리덴셜 스터핑' 방식으로 GS리테일이 운영하는 GS샵과 GS25 홈페이지를 공격했다. 이 공격으로 GS샵 이용자 158만 1025명과 GS25 이용자 7만 9128명의 이름, 생년월일, 연락처, 주소, 이메일 등 개인정보가 유출됐다. GS샵에 대한 공격은 2024년 6월 21일부터 지난해 2월 13일까지, GS25는 2024년 12월 26일부터 지난해 1월 4일까지 이어졌다. 개인정보위는 GS리테일이 동일 IP에서 발생하는 대규모 로그인 시도나 이상 징후를 탐지·차단할 대책을 마련하지 않았다고 지적했다. 특히 GS리테일은 지난해 1월 4일 GS25의 유출 사고를 인지하고도, 같은 IP가 사용된 GS샵의 공격 사실을 한 달 뒤에야 파악해 피해를 키웠다. 또한 사고 당시 개인정보 전담 조직이 부재했고, 유출 사실 통지 과정에서 법정 기한인 72시간을 넘긴 사례도 확인됐다. 개인정보위는 GS리테일에 보안 정책 마련, 전담 인력 배치, 개인정보보호책임자(CPO) 권한 강화 등 거버넌스 체계 개선을 시정명령했다. GS리테일 측은 사고 이후 보안 시스템을 전면 점검하고 정보보안대책위원회를 구성하는 등 대응 체계를 강화했다고 밝혔다.