GS리테일(GS25·GS샵)편의점·홈쇼핑 사이트 크리덴셜 스터핑
쉽게 말하면 다른 곳에서 새어 나온 아이디·비밀번호를 대입하는 공격으로 GS 계열 사이트 고객 정보가 유출됐습니다.
GS25 웹사이트에서 고객 9만여 명의 정보가 유출됐다고 공지한 뒤 12개월치 접속 로그를 전수 점검했더니, GS샵에서 158만 건의 유출 정황이 추가로 확인됐습니다. 새해 첫 대형 사고였습니다.
규모 9만 명에서 158만 건으로 확대현황 개인정보위 과징금 128억 원(2026년 8월 말 보도)
내가 해당되는지 확인하기
GS25·GS샵 이용자
- GS리테일·GS샵 공식 안내를 확인하세요.
해당되거나 불안하다면
- 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
- 다른 사이트와 같은 비밀번호를 쓰고 있다면 바꾸세요.
확인된 사실
- 1차 공지
- 2025년 1월 6일, GS25 고객 약 9만여 명
- 2차 확인
- 2025년 2월 27일, GS샵 약 158만 건(2024년 6월 21일~2025년 2월 13일 사이 유출 정황)
- 유출 정보
- 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일 등
- 과징금
- 128억 원, 유출 166만여 명 기준
경과
- GS25 웹사이트 해킹으로 고객 9만여 명 정보 유출 공지
- 모든 사이트 로그인 기록을 1년치로 넓혀 점검하던 중 GS샵 158만 건 유출 확인
- 개인정보위 과징금 128억 원 제재를 받았다는 보도(처분 일자는 이 기사 기준)공식 조치
원인으로 지목된 것
- 다른 곳에서 유출된 계정과 비밀번호를 무작위로 대입하는 크리덴셜 스터핑 수법
- 동일 IP에서 대규모 로그인 시도 같은 이상 징후가 있었는데도 파악하지 못했다는 개인정보위 판단
- 한 보안 전문가는 GS리테일과 GS홈쇼핑 합병 후 시스템 통합·고도화가 몰리면서 보안이 소홀해졌을 가능성을 지적
대응과 조치
- 비밀번호 변경 안내와 의심 전화·이메일 신고 당부, 로그 전수 점검 확대
점검해 볼 지점 (편집 의견)
- 로그인 시도의 IP별·계정별 이상 패턴(짧은 시간의 대량 시도, 높은 실패율)을 기준으로 차단하는 정책이 있는지 확인할 만합니다.
- 1년치 로그가 남아 있었기에 규모를 확정할 수 있었습니다. 접속 로그 보관 기간이 사고 대응의 전제 조건입니다.
관련 ISMS-P 인증기준 (편집 의견)
탐지·인지 지연2.9.5 로그 및 접속기록 점검2.11.1 사고 예방 및 대응체계 구축2.11.3 이상행위 분석 및 모니터링
계정·인증 약점2.5.1 사용자 계정 관리2.5.3 사용자 인증2.5.4 비밀번호 관리
공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.
용어: 크리덴셜 스터핑
출처
- 딜사이트: GS25 9만 명 유출(2025-01-06)dealsite.co.kr
- 딜사이트: GS샵 158만 건 유출(2025-02-27)dealsite.co.kr
- 보안뉴스: 크리덴셜 스터핑 공격boannews.com
- 캐치시큐: 2025 상반기 대기업 유출 사고catchsecu.com
- 파이낸셜뉴스: 개인정보위 과징금 128억 원fnnews.com