온라인 쇼핑몰 ‘GS SHOP’과 편의점 ‘GS25’의 온라인 홈페이지에 대한 해킹으로 166만명의 개인정보가 유출돼 운영사인 GS리테일에 120억원대 과징금이 부과됐다. 개인정보보호위원회는 31일 개인정보보호법을 위반한 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과한다고 밝혔다.

신원 미상의 해커는 2024년부터 지난해까지 사전에 확보한 다수의 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 활용해 GS SHOP 회원 158만 1025명, GS25 회원 7만 9128명의 이름과 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 빼냈다. GS리테일은 같은 인터넷프로토콜(IP) 주소에서 단시간에 대규모 로그인 시도가 발생해도 이를 탐지·차단하는 대책을 마련하지 않았다. 로그인 시도·실패가 급증했는데도 징후를 인지하지 못해 유출이 장기간 이어졌다. GS25의 개인정보 유출을 인지하고도 GS SHOP에서 같은 공격이 발생한 사실을 한 달여 뒤에야 파악했다.