韩国PIPC对GS Retail处以128.36亿韩元罚款：撞库攻击致166万用户个人信息外泄且未及时通报

调查显示，一名身份不明的黑客自2024年6月21日至2025年2月13日对GS Shop网站、自2024年12月26日至2025年1月4日对GS25网站实施撞库攻击，通过反复注入大量已泄露的账号密码成功登录，并访问会员信息修改页面提取数据。共窃取158.1万GS Shop用户与7.9万GS25用户的姓名、性别、出生日期、电话、住址与邮箱等信息，合计约166万人。

PIPC指出，GS Retail未部署能够识别并阻断短时间内来自同一IP的大量登录尝试与失败激增等异常信号的安全措施，导致未授权访问长期未被发现。企业在2025年1月4日发现GS25遭入侵后，又用了40余天才发现GS Shop正遭受同类攻击，而两起攻击中有327个IP地址重合，暴露出事件调查横向扩展迟缓。

在组织治理方面，PIPC认定事发时企业没有专门的个人信息保护机构，安全运营分散在多个割裂系统中；在通报环节，调查中新识别出1599名受影响者，企业无正当理由未在法定72小时内完成通知。PIPC同时责令企业在官网公开处罚决定，制定流量与访问模式分析等异常连接识别策略，配备专职个人信息安全人员并明确CPO权责。

同日PIPC还对其他企业作出处理：约会应用Wippy的运营方Nrise因身份验证系统漏洞检查不足、未限制过度访问，致736个账号信息泄露，被罚1.1844亿韩元；SK Telecom因其“ifland”活动网站管理页面被搜索引擎收录、致1140人姓名与手机号外泄且未在24小时内通报，被罚360万韩元并责令整改，代运营方AtoZ被警告。