할리스 개인정보 276만건 유출…“가상화폐 채굴 목적 해킹”

[더파워 이설아 기자] 커피전문점 할리스가 멤버십 시스템 해킹 사고와 관련해 약 276만건의 개인정보가 유출된 것으로 파악됐다고 공식 입장을 내놨다. 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상 접근하는 과정에서 과거 멤버십 고객 정보 일부가 유출됐다는 설명이다.

20일 할리스에 따르면 회사는 전날 공식 입장을 통해 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다고 밝혔다. 앞서 관련 사고가 알려진 뒤 할리스는 사고 경위와 유출 규모 등을 추가로 확인해 공개했다.

할리스가 한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만건이다. 중복 회원이 포함된 수치로, 2009년부터 2020년 2월 11일까지 축적된 과거 멤버십 고객 데이터로 추정되며 정확한 규모는 현재 추가 확인 중이다.

회사 측은 유출된 데이터가 현재 사용 중인 고객 데이터베이스가 아니라 과거 멤버십 서비스 개편을 위해 제공했던 임시 데이터 파일이라고 설명했다. 현재까지 확인된 개인정보 유출 시점은 지난 9월 3일부터 이달 7일 사이로 파악됐다.

유출 항목에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI)와 서비스 이용 관련 정보 등이 포함됐다. 할리스는 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적으로 접근하는 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다고 밝혔다.



할리스는 사고 확인 직후 해당 서비스의 비인가 접근 경로를 차단하고 인증 절차를 강화했다. 비정상적인 로그인 시도에 대한 모니터링도 확대했으며 관계 기관 신고 절차를 마치고 사고 경위에 대한 내부 조사도 진행하고 있다.

개인정보 접근 권한과 인증 체계, 보안 시스템에 대한 전면 점검도 진행한다. 사고가 발생한 클라우드를 사용하는 멤버십 서비스는 조속히 중단하고, 조사 결과를 바탕으로 추가 개선 조치를 시행할 예정이다.

할리스는 고객들에게 멤버십 계정과 동일한 계정 정보를 사용하는 다른 서비스의 비밀번호도 변경할 것을 권고했다. 출처가 불분명한 전화나 문자, 이메일에 응답하거나 링크를 클릭하지 말 것도 당부했다.

할리스는 “이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다”며 “유출된 개인정보로 인한 2차 피해 가능성을 지속적으로 점검하고 고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다”고 밝혔다.

이설아 더파워 기자 seolnews@thepowernews.co.kr