個人情報保護委員会は31日、GS Retailなど4事業者による個人情報漏えいを巡り、計129億5444万ウォンの課徴金と、1020万ウォンの過怠金を科すと発表した。GS Retailなどに対しては、再発防止策の策定を含む是正命令も出した。

同委員会は26日の全体会議で、個人情報保護法違反に対する処分を議決した。対象はGS Retailのほか、NRISE、SK telecom、AtoZ。各社に対し、処分結果を自社ホームページで公表することも命じた。

委員会によると、各社はいずれも個人情報を扱うシステムのアクセス統制など、安全措置が不十分だったという。

このうちGS Retailには、128億3600万ウォンの課徴金と300万ウォンの過怠金を科した。

身元不明のハッカーは、GS Retailが運営するGS SHOPのホームページに対して2024年6月21日から2025年2月13日まで、GS25のホームページに対しては2024年12月26日から2025年1月4日まで、クレデンシャルスタッフィング攻撃を仕掛け、不正ログインに成功した。

その後、会員情報の変更ページを通じて、GS SHOPでは158万1025人分、GS25では7万9128人分の個人情報が漏えいした。漏えいしたのは氏名、性別、生年月日、連絡先、住所、メールアドレスなど。

GS Retailは、短時間に同一IPアドレスから大量のログイン試行があった場合に、これを検知・遮断する仕組みを整備していなかった。ログイン試行や失敗件数の急増といった異常兆候も把握できず、漏えいが長期間続いたとしている。

またGS Retailは、GS25のホームページでの漏えいを2025年1月4日に初めて把握したものの、事故対応は不十分だった。GS SHOPのホームページでも同様の攻撃が起きていたことを2025年2月に追加で把握したが、最初の把握後も個人情報漏えいが続いたという。

NRISEでは、身元不明のハッカーが同社運営のデーティングアプリで本人認証の脆弱性を悪用し、2023年3月23日から27日までの間に、携帯電話番号1万6803件を使ってログインを試みた。この結果、736アカウントの個人情報が漏えいした。

個人情報保護委員会はNRISEに対し、1億1844万ウォンの課徴金と360万ウォンの過怠金を科した。

AtoZは、SK telecomから「ifland」サービスのイベント運営を受託し、イベント用Webサイトを制作・運営していた。この過程で、2022年11月21日から2023年1月3日まで管理者ページが検索結果に露出し、1140人分の個人情報（氏名、携帯電話番号）が漏えいした。

これを受け、個人情報保護委員会はSK telecomに360万ウォンの過怠金を科し、AtoZには警告措置を下した。