韩国PIPC公布第17次全体会议决议：约会应用WIPPY、SKT元宇宙服务等四家企业因数据泄露被罚约130亿韩元

除GS Retail外，被制裁的三家企业分别是约会应用WIPPY的运营商NRISE、提供元宇宙服务的SK电讯（SKT），以及在线营销服务商ATOZ。PIPC指出，这些企业未能落实访问权限管理等基本安全义务，是导致泄露的共同成因。

其中GS Retail被处128.36亿韩元罚款及300万韩元罚款。黑客在2024年6月21日至2025年2月13日对GS SHOP网站、2024年12月26日至2025年1月4日对GS25网站实施撞库攻击，重复提交登录请求非法访问用户页面，致使GS SHOP约158.1万名、GS25约7.9万名用户的个人信息外泄。

PIPC认定，GS Retail既未部署对同一IP短时间内重复登录的检测与阻断措施，也未能发现登录尝试与失败量异常激增，导致泄露长期持续；该公司在2025年1月4日知悉GS25泄露后未采取充分后续措施，直接造成同年2月GS SHOP再次泄露，且部分攻击IP重合。

此外，GS Retail未妥善建立并运营专门的个人信息保护组织，安全运营碎片化；在首次报告泄露后，又无正当理由未在72小时内报告新增1599人泄露。PIPC责令其制定防止再次发生的具体方案、检视并改进隐私专门组织与运营，并在官网公开制裁结果。