할리스 “심려 끼쳐 깊이 사과”…멤버십 클라우드 해킹으로 고객정보 276만건 유출

▲커피전문점 할리스의 멤버십 시스템이 해킹당해 고객들의 개인정보가 유출된 것으로 알려진 19일 서울시내 할리스 매장 앞을 시민이 지나고 있다. 사진=연합뉴스

할리스가 멤버십 정보를 쓰는 클라우드 서비스 해킹으로 고객 개인정보가 유출됐다고 19일 밝혔다. 한국인터넷진흥원(KISA)에 신고된 규모는 중복 회원을 포함해 약 276만건이다. 2009년부터 2020년 2월11일까지 쌓인 누적 고객 데이터로 추정된다.

할리스는 멤버십 정보를 쓰는 클라우드 서비스가 외부로부터 해킹을 당해 고객 개인정보가 유출됐다고 19일 밝혔다.

할리스가 유출 사실을 파악한 시점은 지난 16일이다. 외부에서 가상화폐를 채굴하려고 클라우드 서비스에 비정상적으로 접근했고, 이 과정에서 고객 정보 일부가 빠져나간 것으로 할리스는 보고 있다.

유출 자료는 과거 멤버십 서비스를 개편하면서 제공했던 임시 데이터 파일로 파악됐다. 현재 운영 중인 고객 데이터베이스(DB)와는 별개 자료라는 게 할리스 설명이다.

한국인터넷진흥원(KISA)에 신고된 유출 규모는 중복 회원을 포함해 약 276만건이다. 2009년부터 2020년 2월11일까지 쌓인 누적 고객 데이터로 추정되고, 정확한 규모는 추가 확인이 진행 중이다.

지금까지 확인된 유출 기간은 지난달 3일부터 지난 7일 사이다. 유출 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보다.

할리스는 즉시 비인가 접근 경로를 막고 인증 절차와 비정상 로그인 시도 모니터링을 강화하는 긴급 조치에 들어갔다. 내부 조사로 상세 경위를 들여다보고 있고 관계 기관 신고 절차도 마쳤다. 앞으로 이어질 기관 조사에는 적극 협조할 방침이다.

해당 클라우드를 이용하는 멤버십 서비스는 조속히 중단될 예정이다. 할리스는 2차 피해 가능성을 계속 점검하기로 했다. 사고 원인과 취약점을 토대로 개인정보 접근 권한과 인증 체계, 보안 시스템을 전면 점검해 필요한 부분은 개선할 계획이다.

고객들에게는 할리스 멤버십은 물론 같은 계정 정보를 쓰는 다른 서비스의 비밀번호도 바꾸라고 권고했다. 2차 피해를 막기 위해 출처를 알 수 없는 전화·문자·이메일에는 응답하지 말고 링크도 누르지 말라고 당부했다.

할리스는 “이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다"며 “고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 전했다.

한편, 할리스는 유출을 확인한 지난 16일 홈페이지 공지사항에 사과와 안내문을 게시하고, 18일에는 대상 고객들에게 문자 메시지로 유출 사실을 알렸다. 탈퇴 회원도 안내 문자를 받았다는 이유로 탈퇴자 정보까지 유출 대상에 포함됐다는 주장도 제기됐다.

송민규 기자 songmg@ekn.kr