목차
개인정보보호위원회가 2026년 8월 26일 GS리테일에 과징금 128억 3,600만원과 과태료 300만원을 부과했습니다. GS샵과 GS25 홈페이지에서 이용자 166만여 명의 개인정보가 새어나간 사고입니다. 언론 네 곳이 사건 경위를 보도했지만, 정작 내 정보가 유출 대상인지 확인하고 피해구제를 신청하는 방법을 짚은 곳은 없어서 그 절차만 정리했습니다.
직접 확인한 것
2026-09-14 01:50 (KST) 기준, 저희가 하나씩 눌러 보고 기록한 값입니다.
같은 사건의 유출 피해자 수를 보도한 언론사 헤드라인이 116만/158만/160만/166만명으로 4가지로 갈린다. 본문 수치(GS샵 158만1025명+GS25 7만9128명=165만9153명)는 모든 기사가 동일하다.
확인 방법: 검색으로 '개인정보보호위원회 GS리테일 과징금 128억' 검색 후 상위 노출 기사 중 4곳(뉴스토마토, 한국경제, YTN, 헤럴드경제)을 직접 열어 제목과 본문 문장을 그대로 대조. 확인 시각 2026-09-14 01:47 KST.
| 언론사 | 헤드라인 표기 | 본문 표기 |
|---|---|---|
| 뉴스토마토 | "116만명 개인정보 유출" | "GS SHOP 이용자 158만1025명과 GS25 이용자 7만9128명" |
| 한국경제 | "158만명 개인정보 유출된 GS리테일" | "GS샵 회원 158만1025명, GS25 회원 7만9128명" |
| YTN | "홈쇼핑 160만 명 정보 유출" | "GS SHOP에서 158만여 명, GS25에서 7만9천여 명" |
| 헤럴드경제 | "'166만명' 개인정보 유출 GS리테일" | "166만명" (합산치 사용) |
| 국민일보·중앙이코노미뉴스·서울경제·kjtimes·스마트비즈 | "166만명" | 158만1025명+7만9128명 합산 |
한계: 개인정보보호위원회의 원문 보도자료(privacy.go.kr 의결서·보도자료)를 직접 열람해 공식 확정치를 대조하지는 못했다. 언론사 자체 집계·반올림 관행 차이일 수 있어, 어느 쪽이 '오타'이고 어느 쪽이 '의도적 단순화'인지는 원문 대조 없이 단정할 수 없다.
166만 피해자가 실제로 이용해야 할 공식 채널 7곳 중 오늘(2026-09-14 01:46 KST) curl로 직접 접속했을 때, 6곳은 HTTP 200으로 정상 응답했고 KISA 개인정보침해신고센터(privacy.kisa.or.kr)는 표준 TLS 인증서 검증에서 실패했다(-k 우회 시에는 200).
확인 방법: 터미널에서 curl -s -o /dev/null -w '%{http_code}' -L –max-time 15 <URL> 형식으로 각 URL을 직접 호출해 HTTP 상태코드를 확인. privacy.kisa.or.kr은 실패해 openssl s_client로 인증서 체인도 별도 점검.
| 채널 | URL | 결과 |
|---|---|---|
| GS리테일 개인정보처리방침 | gsretail.com/gsretail/ko/footer/privacy | HTTP 200 |
| GS리테일 메인/GS25 브랜드관 | gsretail.com, gsretail.com/brand/gs25 | HTTP 200 |
| GS SHOP | gsshop.com | HTTP 200 |
| 개인정보포털 침해신고 | privacy.go.kr/front/wcp/spl/splRptInfo.do | HTTP 200 |
| 개인정보포털 메인 | privacy.go.kr | HTTP 200 |
| KISA 개인정보침해신고센터 | privacy.kisa.or.kr | curl 기본 옵션: 연결실패(SSL certificate problem: unable to get local issuer certificate) / curl -k(검증생략): HTTP 200 |
| GS더프레시 | gsthefresh.com | DNS 조회 실패(Could not resolve host) — 도메인 자체가 존재하지 않음, 다른 주소로 재확인 필요 |
한계: 일반 브라우저(Chrome/Safari)는 AIA(Authority Information Access)로 누락된 중간 인증서를 자동 보완하는 경우가 많아 실제 이용자 대부분은 이 문제를 못 느낄 수 있다. curl·구형 안드로이드 브라우저·일부 사내망 프록시 등 AIA 보완이 없는 환경에서만 재현된다. 또한 기사에 언급된 GS25(080-999-5425)·GS샵(080-414-4545)·GS더프레시(080-345-7700) 고객센터 전화번호는 실제 발신 테스트를 하지 못해 확인 범위에서 제외했다.
GS리테일 공식 사이트(gsretail.com, gsshop.com)에서 이번 166만명 규모 유출 사고에 대한 별도 공지사항·피해구제 신청 페이지를 오늘 검색으로 찾지 못했다 — 접근 가능한 채널은 일반 '개인정보처리방침' 정적 페이지뿐이었다.
확인 방법: site:gsretail.com, site:gsshop.com 조합으로 '개인정보 유출 안내'를 검색으로 검색하고, gsretail.com의 개인정보처리방침 페이지를 직접 열어 유출 사고 관련 공지·피해구제 절차·고객센터 번호가 텍스트로 존재하는지 확인.
검색으로 결과: 유출 안내/피해구제 관련 페이지는 노출되지 않고 멤버십 이벤트, 회원 전환, 이용약관 등 일반 페이지만 검색됨. 직접 열람 (gsretail.com/gsretail/ko/footer/privacy) 결과: 페이지 본문에서 추출된 텍스트가 사실상 'GS Retail' 한 줄뿐으로, 유출 사고 공지·신청 절차·전화번호가 텍스트 레벨에서 확인되지 않음(해당 페이지가 자바스크립트로 콘텐츠를 그리는 구조여서 정적 텍스트 추출로는 내용이 비어 보일 가능성이 있음).
한계: 이는 검색엔진 인덱싱 범위와 텍스트 추출 도구의 한계 내에서의 결과다. 실제 브라우저로 로그인 후에만 노출되는 개별 통지 페이지가 별도로 존재할 가능성은 배제할 수 없어, '공지가 전혀 없다'가 아니라 '오늘 일반 접근/검색으로는 찾을 수 없었다'는 의미로 한정한다.
사건을 간단히 정리하면
공격 방식은 크리덴셜 스터핑입니다. 다른 곳에서 유출된 아이디·비밀번호를 무작위로 대입해 로그인을 시도하는 수법이죠. GS샵은 2024년 6월 21일부터 2025년 2월 13일까지, GS25는 2024년 12월 26일부터 2025년 1월 4일까지 이 공격을 받았습니다. 유출 항목은 이름, 성별, 생년월일, 연락처, 주소, 이메일이고, 비밀번호나 카드번호 같은 결제정보 포함 여부는 확인되지 않았습니다.
GS25 유출은 2025년 1월 4일 처음 인지됐고, GS샵 쪽 동일 공격은 한 달 넘게 지난 2025년 2월에야 파악됐습니다. 개인정보보호위원회는 짧은 시간에 몰리는 로그인 시도를 걸러내는 보안대책과 전담 보호조직이 없었던 점을 지적했습니다. 추가로 확인된 피해자 1,599명에게는 법정 기한(72시간)을 넘겨 뒤늦게 통지했습니다. GS리테일은 “사고 이후 보안 시스템과 관리체계를 전면 점검했다”며 외부 전문가가 참여하는 정보보안대책위원회를 구성해 대응 중이라고 밝혔습니다.
내 정보가 유출됐는지부터 확인하세요
166만 명 전체에게 언제 어떤 방식으로 통지했는지는 확인되지 않았어요. 가입할 때 등록해둔 이메일과 문자메시지함부터 확인해보세요. 스팸함도 한 번 더 열어보시길 권합니다.
GS리테일의 별도 “유출 여부 조회” 페이지는 확인되지 않았습니다. 지금 시도할 수 있는 경로는 두 가지입니다.
- GS SHOP 고객센터에 직접 문의하기
- GS25 고객센터에 직접 문의하기
KISA 개인정보침해 신고센터에 접수하는 순서
개인정보 침해를 신고하고 상담받을 수 있는 공식 창구는 한국인터넷진흥원(KISA) 개인정보침해 신고센터입니다. GS리테일 사건 전용 창구가 아니라, 이런 사고 전반에 적용되는 일반 접수 경로예요. 접수 전에는 이용 중인 서비스가 GS샵인지 GS25인지, 유출 통지를 받았다면 그 내용(캡처), 이상 로그인을 느낀 시점을 정리해두면 도움이 됩니다. 필요 서류는 정확히 안내돼 있지 않아요.
| 접수 방법 | 연락처 | 비고 |
|---|---|---|
| 전화 | 국번 없이 118 | 가장 빠른 방법 |
| 웹사이트 | privacy.kisa.or.kr | 온라인 접수 가능 |
| 우편 | (58324) 전라남도 나주시 진흥길 9, 한국인터넷진흥원 3층 개인정보침해신고센터 | 서면으로 남기고 싶을 때 |
1단계 — 118로 전화하거나 홈페이지에서 접수하기 가장 간단한 방법은 전화입니다. 국번 없이 118을 누르면 바로 연결돼요. 온라인으로 접수하고 싶다면 privacy.kisa.or.kr 에서 신고 메뉴를 이용하면 됩니다.
2단계 — 검토와 시정조치를 기다리기 접수가 끝나면 법규 위반 여부를 검토하고, 필요하면 행정지도 같은 시정 조치가 이뤄진 뒤 결과가 신고자에게 통보됩니다. 처리 기간은 안내돼 있지 않아요. GS샵·GS25 고객센터에서 답을 못 들었더라도 KISA는 회사와 별개로 움직이는 공적 창구니 118로 접수하시면 됩니다. 다만 이 절차가 곧바로 개인별 금전 보상으로 이어지지는 않아요.
분쟁조정위원회라는 대안도 있다
신고·상담을 넘어 실질적인 분쟁 해결이 필요하다면 개인정보 분쟁조정위원회에 조정 신청을 할 수 있습니다. 신고와는 별도 절차라, 보상이나 합의를 원한다면 이쪽을 함께 알아보시는 게 좋습니다. 166만 명 규모 사건이라 신청이 몰릴 것 같은데, 시간이 걸릴 수 있다는 점은 감안하시는 게 좋겠습니다.
자주 묻는 질문
Q. GS리테일이 유출 사실을 문자나 이메일로 알려주나요? 166만 명 전체에 대한 통지 방식과 시기는 확인되지 않았습니다. 다만 뒤늦게 확인된 피해자 1,599명에게는 법정 기한(72시간)을 넘겨 통지했다는 사실은 나왔어요.
Q. 신고하면 바로 보상받나요? 아니요. KISA 신고는 법규 위반 검토와 시정조치, 결과 통보 순서로 진행됩니다. 금전적인 분쟁 해결까지 원한다면 개인정보 분쟁조정위원회에 별도로 조정을 신청해야 합니다.
Q. 이번 과징금이 역대급인가요? 정확한 역대 순위까지는 확인되지 않았어요. 128억 3,600만원이라는 금액 자체는 위원회 제재 중에서도 눈에 띄는 규모입니다.
GS샵 158만 1,025명, GS25 7만 9,128명이 유출 대상으로 확인된 것과 과징금 부과까지는 사실입니다. 개인별 통지 시기와 GS리테일 자체 조회 페이지 여부는 앞으로 공식 발표가 나오는지 지켜봐야 합니다. 그때까지는 고객센터 문의와 KISA 118 신고를 같이 밟아두시는 게 가장 확실합니다.
출처
- 166만명 털렸는데 8개월간 몰랐다…GS리테일 과징금 128억
- ‘개인정보 166만명 유출’ GS리테일에 과징금 128억원
- 개인정보 166만명 유출 GS리테일에 과징금 128억원…”사고 대응 소홀”
- GS리테일, 개인정보 166만명 유출…과징금 128억원 ‘철퇴’
- 정보주체의 개인정보 침해 신고 및 분쟁조정 신청 — 찾기쉬운 생활법령정보
- KISA 개인정보침해 신고센터 이용안내
Image credits
- Photo by Tuan Vy on Pexels
- Photo by TheDigitalWay on Pixabay