GS리테일 과징금 128억, 실적에 미칠 무게
개인정보보호위원회가 회원 166만 명 정보 유출을 이유로 GS리테일에 과징금 128억3600만원을 부과했다. 이 금액은 2025년 영업이익 2921억원의 약 4%인 일회성 비용이라 실적의 방향을 바꿀 규모는 아니다. 다만 같은 공격에 두 번 뚫린 정황과 이후 보안투자·소송 리스크가 과징금 액수보다 실질적인 변수여서 투자자는 재발 방지책을 확인해야 한다.
과징금 128억, 어떻게 나온 숫자인가
개인정보보호위원회가 9월 1일 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다. 회원 166만 명의 개인정보가 빠져나간 사건에 대한 제재다. 유출된 규모는 GS SHOP 회원 158만1025명, GS25 회원 7만9128명으로, 이름과 생년월일, 연락처, 주소, 이메일까지 포함됐다.
수법은 크리덴셜 스터핑이었다. 다른 곳에서 새어 나온 아이디와 비밀번호를 무차별로 대입해 로그인에 성공하는 방식이다. 문제는 대응이다. GS25에서 먼저 이상을 인지하고도 한 달여 뒤 GS SHOP에서 같은 공격이 되풀이됐고, 위원회는 동일 IP에서 벌어진 대규모 로그인 시도를 제때 탐지·차단하지 못한 점을 무겁게 봤다.
실적에 부담이 되는 규모일까
Photo by Luis Benito on Unsplash
투자 관점에서 먼저 볼 것은 이 128억이 회사 체력에서 얼마나 큰 금액이냐다. GS리테일의 2025년 매출은 11조9574억원, 영업이익은 2921억원이었다.
과징금 128억원을 여기에 대보면 연간 영업이익의 약 4.4%, 매출로는 0.11% 수준이다. 한 해 벌어들이는 이익의 스무 분의 일이 조금 안 되는 금액이고, 그마저도 매년 반복되는 비용이 아니라 이번 사건에 한정된 일회성 성격이다. 실적의 방향 자체를 바꿀 크기로 보기는 어렵다.
회계에 반영될 때도 비용이 잡히는 특정 분기의 이익에는 눈에 띄지만, 연간 이익의 방향을 되돌릴 정도는 아니다. 참고로 2025년 영업이익은 전년보다 14.1% 늘었다. 이익이 뒷걸음질 치던 회사가 맞은 악재와, 이익이 두 자릿수로 늘던 회사가 맞은 일회성 비용은 무게가 다르다.
그런데도 가볍게 넘기기 어려운 이유
숫자만 보면 감당 가능한 규모지만, 이 사건이 남기는 건 과징금 액수만이 아니다. 핵심은 같은 공격이 한 번 더 통했다는 점이다. 첫 유출을 겪고도 한 달 뒤 계열 서비스에서 동일한 방식에 다시 뚫렸다는 사실은 보안 체계의 구조적 허점을 드러낸다.
여기서 파생되는 비용이 진짜 변수다. 재발을 막기 위한 보안 투자, 피해 회원의 집단분쟁이나 손해배상 청구 가능성, 개인정보 규제가 강화되는 흐름 속에서의 추가 리스크는 128억이라는 확정 금액보다 예측이 어렵다. 브랜드 신뢰도 역시 편의점과 홈쇼핑처럼 회원 데이터에 기대는 사업에서는 수치로 잡히지 않는 부담이다. GS리테일 매출의 대부분은 편의점(2025년 약 8조9000억원)에서 나오는데, 이 사업일수록 회원 정보에 대한 신뢰가 곧 자산이다.
투자자라면 무엇을 확인할까
개인정보 유출 이슈를 종목 관점에서 볼 때는 과징금 헤드라인보다 그 뒤를 봐야 한다.
우선 이번 비용이 일회성인지, 추가 제재나 소송으로 이어질 여지가 있는지 구분한다. 다음으로 회사가 내놓는 재발 방지 대책이 크리덴셜 스터핑 같은 반복 공격을 실제로 막을 수준인지 확인한다. 마지막으로 이런 사건이 실적 전망 자체를 흔드는지, 아니면 단기 노이즈에 그치는지를 나눠 판단하는 편이 낫다. 이 조건이라면, 128억 부과 자체보다 재발 여부와 사후 대응이 종목의 실제 리스크를 가른다.