크리덴셜 스터핑이 뭐길래 회사가 128억을 내나
2026년 8월 31일, 개인정보가 급상승 검색어에 올랐습니다. 개인정보보호위원회가 GS리테일에 과징금 128억 3,600만원을 부과했다고 발표한 날입니다.
기사를 읽으면 이상한 점이 하나 있습니다. 뚫은 것은 해커인데 돈을 내는 것은 회사입니다. 왜 그런지는 발표 내용 안에 답이 있습니다.
30초 요약
① 166만 153명의 정보가 나갔고 과징금은 128억 3,600만원입니다
② 공격 방식은 크리덴셜 스터핑 — 어디선가 새어 나온 아이디와 비밀번호를 그대로 대입해 보는 것입니다
③ 회사 과실로 인정된 것은 막지 못한 것이 아니라 알아채지 못한 것입니다
무엇이 얼마나 나갔나
| 구분 | 인원 |
|---|---|
| GS SHOP | 158만 1,025명 |
| GS25 | 7만 9,128명 |
| 합계 | 166만 153명 |
나간 항목은 이름, 성별, 생년월일, 연락처, 주소, 이메일입니다. 비밀번호나 카드번호가 목록에 없는 것은 다행이지만, 여기까지만 있어도 본인 확인을 흉내 내기에는 충분합니다.
크리덴셜 스터핑이 뭔가
이름이 어렵지만 방식은 단순합니다. 다른 곳에서 이미 새어 나온 아이디와 비밀번호 목록을 가져와서, 이 사이트에도 그대로 넣어 보는 것입니다.
해킹이라는 말에서 떠올리는 그림과 다릅니다. 시스템의 구멍을 찾아 침투하는 게 아니라, 정문에서 남의 열쇠를 하나씩 꽂아 보는 쪽에 가깝습니다.
사람들이 여러 사이트에 같은 비밀번호를 쓰고 있어야 성립합니다. 비밀번호를 다르게 쓰고 있으면 열쇠를 아무리 꽂아도 안 열립니다.
공격이 이뤄진 시점은 2024년 12월부터 2025년 1월까지로 발표됐습니다.
그럼 왜 회사 잘못인가
여기가 이 사건의 핵심입니다. 위원회가 지적한 것은 뚫렸다는 사실이 아니라 그 과정을 몰랐다는 사실입니다.
| 지적된 것 | 내용 |
|---|---|
| 차단 장치 | 짧은 시간에 같은 IP에서 대규모 로그인 시도가 들어와도 탐지·차단할 대책이 없었음 |
| 감지 장치 | 로그인 시도와 실패가 급증하는 이상징후가 있었는데 파악하지 못했음 |
크리덴셜 스터핑은 성질상 실패가 대량으로 쌓입니다. 남의 열쇠를 수십만 개 꽂아 보면 대부분 안 맞기 때문입니다. 그래서 이 공격은 실패 기록에서 먼저 보입니다. 그 기록을 보고 있지 않았다는 것이 과실로 인정된 셈입니다.
같은 날 함께 처분된 곳
이 결정은 8월 26일 제17회 전체회의에서 나왔고, GS리테일 외에 엔라이즈, SK텔레콤, 에이토즈가 함께 처분을 받았습니다.
| 구분 | 금액 |
|---|---|
| 4개 사업자 과징금 합계 | 129억 5,444만원 |
| 그중 GS리테일 | 128억 3,600만원 |
| 나머지 3개 사업자 몫 | 약 1억 1,844만원 |
합계에서 GS리테일을 빼면 나머지 세 곳이 나눠 가진 금액이 나옵니다. 이번 처분은 사실상 한 건에 몰려 있습니다.
규모를 가늠해 보려면 비교값이 하나 있습니다. 쿠팡 개인정보 유출 과징금은 6,246억원으로 역대 최대였습니다. 이번 128억은 그것의 2% 수준입니다.
그래서 우리가 할 수 있는 것
이 사건에서 이용자가 통제할 수 있는 부분은 하나뿐입니다. 비밀번호 재사용을 끊는 것입니다.
- 돈이 걸린 곳부터 비밀번호를 따로 씁니다. 은행, 카드, 페이 계열이 먼저입니다
- 이메일 계정을 가장 강하게 둡니다. 다른 서비스의 비밀번호 재설정이 전부 여기로 오기 때문입니다
- 2단계 인증을 켭니다. 비밀번호가 맞아도 한 단계가 더 있으면 이 공격은 막힙니다
- 안 쓰는 계정을 지웁니다. 쓰지 않는 사이트에 남은 정보도 똑같이 새어 나갑니다
유출 통지를 받았다면 같은 비밀번호를 쓰던 다른 사이트를 먼저 바꾸십시오. 정작 위험한 곳은 유출된 그 사이트가 아니라 비밀번호를 돌려쓴 나머지입니다.
오늘 확인된 것과 확인되지 않은 것
확인된 것 (2026년 8월 31일 보도 기준)
- 개인정보보호위원회가 GS리테일에 과징금 128억 3,600만원, 과태료 300만원 부과
- 유출 인원 GS SHOP 158만 1,025명 · GS25 7만 9,128명
- 유출 항목: 이름·성별·생년월일·연락처·주소·이메일
- 공격 방식은 크리덴셜 스터핑, 시점은 2024년 12월~2025년 1월
- 과실로 인정된 것: 동일 IP 대량 로그인 시도 탐지·차단 대책 부재, 로그인 실패 급증 이상징후 미파악
- 8월 26일 제17회 전체회의에서 4개 사업자 총 129억 5,444만원 과징금, 과태료 1,020만원
- 쿠팡 개인정보 유출 과징금은 6,246억원으로 역대 최대
확인되지 않은 것
- 유출된 계정에 비밀번호가 포함됐는지 — 보도된 항목 목록에는 없습니다
- 개별 통지가 어디까지 갔는지 — 확인하지 못했습니다
- GS리테일의 이의 제기 여부 — 발표 시점 기준으로 알려지지 않았습니다
- 2차 피해 규모 — 집계된 자료를 찾지 못했습니다
- 나머지 3개 사업자의 개별 금액 — 합계에서 역산한 값이며 각각의 액수는 확인하지 못했습니다
공식 출처
이 글은 공개 보도를 정리한 정보 글입니다. 처분 내용과 금액은 이후 달라질 수 있으며 이 글은 정확성을 보장하지 않습니다. 본인의 유출 여부와 대응 방법은 개인정보보호위원회 또는 해당 기업 공지에서 직접 확인하시기 바랍니다. 인포그래픽은 자체 제작입니다.
댓글
댓글 쓰기