个人信息保护委员会（以下简称个人信息委员会）对违反个人信息保护法规的GS零售处以128亿3600万元的罚款，并处以300万元的罚款。同时，对恩瑞斯和SK电信也进行了罚款和罚金处理，对艾托兹则给予警告。
个人信息委员会在8月26日召开第17次全体会议，决定对GS零售、恩瑞斯、SK电信和艾托兹四家企业共计处以129亿5444万元的罚款和1020万元的罚金，并要求制定防止再次发生的对策，并在相关企业网站上公布结果。
GS零售被处以128亿3600万元的罚款和300万元的罚金。
根据个人信息委员会的报告，身份不明的黑客于2024年6月21日至2025年2月13日期间对GS零售运营的GS SHOP网站进行“凭证填充”攻击，并于2024年12月26日至2025年1月4日期间对GS25网站进行攻击，成功登录。凭证填充攻击是一种利用事先获取的大量用户名和密码信息进行暴力登录的攻击方式。
随后，黑客通过会员信息修改页面，泄露了GS SHOP的158万1025名用户和GS25的7万9128名用户的个人信息（包括姓名、性别、出生日期、联系方式、地址、电子邮件等）。
GS零售未能制定能够检测和阻止同一IP地址在短时间内进行大规模登录尝试的措施。尽管登录尝试和登录失败的异常情况急剧增加，但未能及时识别，导致信息泄露持续了较长时间。
在意识到泄露后，GS零售未采取适当措施，导致GS SHOP的个人信息泄露进一步加剧。尽管在2025年1月4日首次意识到GS25网站的信息泄露，但直到同年2月才意识到GS SHOP网站也遭受了相同的攻击。因此，从首次意识到泄露的1月4日至2月13日，信息泄露持续发生。
在意识到GS25网站的信息泄露后，GS零售未能充分应对，未能及时识别GS SHOP网站上发生的相同攻击。这导致在首次意识到泄露的2025年1月4日之后，信息泄露持续到2月13日。特别是，GS25攻击中使用的327个IP地址在GS SHOP攻击中也被确认使用。
调查显示，事故发生时缺乏专门的个人信息保护组织，安全运营分散，个人信息保护组织的构建和运营也显得不足。首次泄露通知后，调查过程中又确认了1599名泄露对象，但在没有正当理由的情况下，超过72小时后才通知泄露事实。
因此，个人信息委员会对GS零售处以128亿3600万元的罚款和300万元的罚金，并命令其在网站上公布处理结果。
此外，个人信息委员会还要求GS零售制定防止再次发生的对策，包括分析服务访问量和模式，以识别异常访问，并加强个人信息保护专门人员的配置，明确个人信息保护责任人的权利和责任，全面检查和改善治理体系。
个人信息委员会对恩瑞斯处以1184万元的罚款和360万元的罚金。恩瑞斯运营的约会应用程序中，身份不明的黑客利用身份验证漏洞，于2023年3月23日至27日对16803个手机号码进行登录尝试。在此过程中，736个账户的昵称、性别、个人资料照片、出生日期、性格、学历、职业、身高、血型等个人信息被泄露。
调查结果显示，恩瑞斯对应用程序内身份验证漏洞的检查和措施疏忽，未设置阻止同一IP地址的过多访问的政策，违反了安全性保障措施的义务。
个人信息委员会对SK电信处以360万元的罚金并下达整改命令，对艾托兹则给予警告。
艾托兹受SK电信委托，制作和运营元宇宙服务“IFLAND”的活动网站。在此过程中，从2022年11月21日至2023年1月3日，管理员页面被搜索引擎曝光，导致1140名用户的姓名和手机号码泄露。
调查显示，艾托兹未对管理员页面实施IP地址限制等访问控制措施。SK电信在意识到个人信息泄露后，超过24小时才进行泄露通知和报告。
该事件适用旧版个人信息保护法，信息通信服务提供者在意识到个人信息泄露后，必须在24小时内进行泄露通知和报告。
个人信息委员会通过此次处理强调，在个人信息处理系统运营时，必须采取限制未授权访问等访问控制措施，定期进行漏洞检查和措施等基本原则。此外，发生个人信息泄露事故时，呼吁信息主体能够迅速识别并在72小时内进行泄露报告和通知。
GS零售表示：“我们已成立由主要高管和外部专家参与的‘信息安全对策委员会’，以提升安全应对体系，并全面检查事故后的安全系统和管理体系，增强信息保护水平。我们将继续以客户为中心，将个人信息保护作为重要的经营课题，持续进行员工培训和内部管理体系的整顿，以防止再次发生。”
※ 本报道经人工智能（AI）系统翻译与编辑。
