個人情報保護委員会が顧客の個人情報が大規模に流出したGSリテールに対し、過料1億2800万ウォンを科した。ログイン失敗が急増するなどの異常兆候が現れたにもかかわらず、これを検知・遮断できず、あるサービスで流出事実を確認した後も別のサービスで同様の攻撃が続き、約40日間にわたり追加流出が発生したと調査で判明した。
個人情報委は26日に第17回全体会議を開き、GSリテールの個人情報保護措置義務違反などに対して、過料総額12億8360万ウォンと科料300万ウォンを科すことを議決したと31日に明らかにした。再発防止策の策定などの是正命令とともに、処分結果をホームページに公表するよう指示した。
調査の結果、身元不明のハッカーは事前に確保したIDとパスワードを用いて、GSリテールが運営するGSショップとGS25のホームページに無差別にログインを試みる「クレデンシャルスタッフィング」攻撃を仕掛けた。GSショップでは2024年6月21日から2025年2月13日まで、GS25では2024年12月26日から2025年1月4日まで攻撃が続いた。ハッカーはログインに成功した後、会員情報修正ページなどにアクセスし、GSショップ利用者158万1025人とGS25利用者7万9128人の個人情報を窃取した。
クレデンシャルスタッフィング攻撃が発生すると、通常は同一インターネットプロトコル（IP）アドレスからのログイン試行回数と失敗率が急増する。しかしGSリテールは、このような不正な接続を検知・遮断する対策を講じていなかったことが判明した。
事故対応の過程でも問題が明らかになった。GSリテールは2025年1月4日にGS25のホームページで個人情報が流出した事実を初めて把握したが、GSショップでも同様の攻撃が進行していた事実は同年2月13日になってようやく追加で確認した。最初の流出事実を認知した後も約40日間、別のサービスで個人情報の流出が続いたということだ。とりわけ、GS25を攻撃するのに用いられたIPアドレスのうち327個はGSショップ攻撃にも同様に使用されたことが確認された。
個人情報委は事故当時、GSリテールに個人情報保護の専任組織がなく、セキュリティ運用も二元化されているなど、個人情報保護の組織と運用体制が不十分であったと判断した。初回の流出通知以後の調査過程で流出対象者1599人が追加で確認されたにもかかわらず、正当な事由なく72時間が経過してからこれらに流出事実を通知した点も確認した。
これにより、GSリテールに対し、サービスの接続量と接続パターンを分析して不正接続を識別できるようにセキュリティポリシーを適用するなど、再発防止策を実施するよう命じた。また、個人情報保護の専任人員を配置し、個人情報保護責任者（CPO）の権限と責任を明確にするなど、個人情報保護ガバナンスも全般的に改善するよう求めた。
一方、個人情報委は同日、デーティングアプリ運営社エンライズにも過料1184万ウォンと科料360万ウォンを科すことを決定した。調査の結果、エンライズが運営するデーティングアプリでは、ハッカーが本人認証過程の脆弱性を悪用し、2023年3月23日から27日までに1万6803件の携帯電話番号でログインを試行し、736件のアカウントの生年月日、学歴、職業などの個人情報を流出させたことが判明した。エンライズはアプリの本人認証の脆弱性に対する点検と措置を怠り、同一IPアドレスから過度の接続が発生してもこれを遮断するよう設定していなかったことが確認された。
また、SKテレコムには科料360万ウォンと是正命令を、エイトーズには警告処分を下した。エイトーズは2022年11月21日から2023年1月3日まで、SKテレコムの「イフランド」イベントウェブサイトを運営する過程で、管理者ページのアクセス統制を適切に行わず、1140人の氏名と携帯電話番号が流出した。SKテレコムは流出事実を認知しながらも、法定期限である24時間を超えて通知・届出を行ったと個人情報委は説明した。