커피전문점 할리스의 멤버십 시스템에 외부의 비인가 접근이 발생해 고객 개인정보가 유출됐다. 할리스는 16일 유출 사실을 확인하고 18일 대상 고객에게 문자메시지로 사고 내용을 알렸다. 유출은 지난달 3일부터 이달 7일 사이 발생한 것으로 추정되며, 대상은 2020년 2월 11일 이전 멤버십 가입 고객이다. 아이디와 비밀번호뿐 아니라 이름, 생년월일, 전화번호, 주소, 이메일 등이 유출 항목에 포함됐다. 구체적인 피해 인원과 유출 규모는 아직 확인되지 않았다.
16일 확인한 사고, 18일 대상 고객에게 안내
할리스는 18일 고객들에게 보낸 문자메시지에서 “당사 멤버십 시스템에 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 16일 확인했다”고 밝혔다. 회사가 확인한 유출 추정 기간은 지난달 3일부터 이달 7일까지다. 현재 날짜 기준으로는 9월 3일부터 10월 7일까지다. 할리스는 이 기간에 외부의 비인가 접근으로 고객 정보가 유출된 것으로 추정하고 있다. 다만 구체적으로 어떤 방식으로 접근이 이뤄졌는지, 유출된 정보가 어디로 전달됐는지에 대한 세부 내용은 안내되지 않았다.
개인정보 유출 사실이 확인된 뒤 할리스는 18일 대상 고객에게 문자메시지를 발송해 사고와 대응 방안을 알렸다. 안내 대상은 2020년 2월 11일 이전 멤버십 가입 고객이다. 할리스는 유출 사실을 확인한 날과 고객에게 안내한 날을 각각 16일과 18일로 밝혔다. 유출 추정 기간과 확인·안내 시점은 다음과 같다.
| 구분 | 날짜 |
|---|---|
| 멤버십 가입 대상 | 2020년 2월 11일 이전 |
| 유출 추정 기간 | 9월 3일~10월 7일 |
| 유출 사실 확인 | 10월 16일 |
| 고객 안내 문자 발송 | 10월 18일 |
아이디·비밀번호부터 주소·생년월일까지 유출 항목에
할리스가 안내한 유출 정보에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일이 포함됐다. 중복가입확인정보(DI)와 서비스 이용 관련 정보도 유출 항목에 들어갔다. 따라서 이번 사고는 이름과 연락처 등 기본 정보에 그치지 않고 멤버십 계정에 연결된 로그인 정보와 주소 등도 포함한 것으로 확인됐다. 회사는 유출 항목을 이처럼 열거했지만, 각 항목별로 몇 명의 정보가 유출됐는지 또는 정보 종류에 따라 유출 범위가 달랐는지는 공개하지 않았다.
멤버십 가입 기준은 2020년 2월 11일 이전이다. 해당 시점 이후 가입한 고객이 유출 대상에 포함되는지 여부에 대해서는 제공된 안내에 별도 설명이 없다. 유출된 고객 정보가 실제로 제3자에 의해 이용됐는지도 확인되지 않았다. 할리스는 구체적인 유출 인원과 피해 규모를 아직 파악하지 못했다고 밝혔다. 이에 따라 현재 확인된 내용은 대상 가입 시점과 유출 항목, 추정 기간에 한정돼 있다. 서비스 이용 관련 정보의 구체적인 종류와 범위 역시 안내문에 자세히 적시되지 않았다.
접근 경로 차단하고 인증·로그인 감시 강화
할리스는 사고를 인지한 뒤 비인가 접근 경로를 차단했다고 설명했다. 멤버십 시스템의 인증 절차를 강화하고 비정상적인 로그인 시도에 대한 모니터링도 강화했다. 관계 기관에 사고를 신고했으며 관련 조사에도 협조하고 있다고 밝혔다. 이 같은 조치가 언제 완료됐는지, 추가로 어떤 보안 조치를 적용했는지는 안내 내용에 포함되지 않았다. 회사는 사고가 발생한 경로를 차단하고 인증과 로그인 감시를 보강했다는 대응 내용을 고객들에게 알렸다.
사고 뒤 할리스 공식 홈페이지 접속에 차질이 있었다는 보도도 나왔다. 18일 오후 홈페이지 접속이 원활하지 않은 상태였다는 내용이다. 다만 홈페이지 접속 문제의 원인이나 멤버십 시스템 사고와의 관련성은 할리스가 밝힌 안내 내용에 제시되지 않았다. 회사는 고객 정보 보호와 피해 최소화를 위한 조치를 하고 있다고 설명했다. 할리스는 문자메시지에서 “이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다”며 “고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다”고 밝혔다.
비밀번호 변경과 의심 연락·링크 주의 당부
할리스는 유출 대상 고객에게 멤버십 계정 비밀번호를 즉시 변경하라고 권고했다. 다른 서비스에서도 할리스 멤버십과 동일한 아이디와 비밀번호를 사용하고 있다면 해당 계정의 비밀번호도 바꾸라고 안내했다. 회사는 변경 시점을 별도로 정하지 않고 즉시 바꿔 달라고 당부했다.
출처가 불분명한 전화나 문자메시지, 이메일에 응답하거나 그 안에 포함된 링크를 누르지 말라는 안내도 했다. 할리스는 문자로 링크를 보내지 않으며 비밀번호나 금융·결제 정보를 요구하지 않는다고 밝혔다. 유출된 정보를 이용한 추가 피해가 확인됐는지, 피해 신고가 접수됐는지는 현재 공개된 내용에 나타나지 않았다. 정확한 유출 인원과 피해 범위도 아직 확인되지 않은 상태다.
할리스는 비인가 접근 경로 차단과 인증 절차 강화, 비정상 로그인 모니터링을 이어가고 관계 기관 조사에 협조하고 있다고 밝혔다. 고객에게는 비밀번호 변경과 의심스러운 연락·링크에 대한 주의를 안내했다. 회사가 밝힌 유출 추정 기간은 10월 7일까지이며, 피해 인원과 유출 규모는 아직 파악되지 않았다.
· · · · · · · · · ·
관련기사
▶ 경주 금장대서 경유 100L 유출 가정, 민·관 100여 명 방제 대응 점검
▶ 반도체 검사기술 해외 유출 혐의 전직 직원 3명 기소
· · · · · · · · · ·
한국사회복지저널은 AI 기술의 도움을 받아 보도자료와 복지 정보를 보다 쉽고 정확하게 전달하기 위해 노력하고 있습니다.
