개인정보보호위원회(위원장 송경희)는 2026년 8월 26일 제17회 전체회의를 열어 ㈜지에스리테일이 운영하는 GS SHOP과 GS25 홈페이지에서 발생한 개인정보 유출 사고에 대해 과징금 128억 3,600만 원과 과태료 300만 원을 부과하고, 재발방지 대책 수립 및 개인정보 보호 조직 개선 등 시정명령과 함께 사업자 홈페이지에 처분 사실을 공표하도록 명령했다. 해커는 크리덴셜 스터핑 공격을 통해 GS SHOP에서 1,581,025명, GS25에서 79,128명의 이름, 생년월일, 연락처 등 개인정보를 유출했으며, ㈜지에스리테일은 동일 IP 대규모 로그인 시도에 대한 탐지·차단 조치를 하지 않아 장기간 유출이 지속됐다.
특히 ㈜지에스리테일은 2025. 1.
4. GS25 유출을 최초 인지했음에도 같은 공격이 GS SHOP에서도 이어지고 있는 사실을 2025년 2월이 되어서야 파악했고, 추가 유출 대상자 확인 후 정당한 사유 없이 72시간을 경과하여 유출 통지한 사실이 확인됐다.
이번 조치 외에도 개인정보위는 ㈜엔라이즈에 과징금 1억 1,844만 원과 과태료 360만 원, 에스케이텔레콤㈜에 과태료 360만 원과 시정명령, ㈜에이토즈에는 경고를 내렸다.
각 사는 접근통제 미흡, 수탁사 관리 소홀, 관리자 페이지 노출 등의 이유로 개인정보 유출이 발생한 것으로 조사됐다. 개인정보위는 안전조치 의무 준수와 72시간 내 유출 신고·통지의 중요성을 재차 강조했다.
