자주 가는 카페에서 내 개인정보가 털렸다는 소식을 들으면 괜히 가슴이 철렁 내려앉곤 합니다. 저 역시 할리스커피 멤버십을 자주 이용해 왔던터라 이번 소식을 접하고 정말 깜짝 놀랐습니다.
할리스커피에서 고객 아이디와 비밀번호, 심지어 집 주소까지 유출되었다고 하는데 대체 무슨 이유로 유출된건지, 그리고 앞으로 어떤 조치를 취해야 하는지 상세하게 정리해 보았습니다.
1. 할리스 개인정보 유출 사고
유명 커피 프랜차이즈 할리스(HOLLYS)의 멤버십 관련 클라우드 시스템이 외부 해킹을 받아 대규모 고객 개인정보가 유출되는 사고가 발생했습니다.
- 유출 대상: 2009년부터 2020년 2월 11일 이전 사이에 할리스 멤버십에 가입한 누적 고객
- 유출 규모: 약 276만 건 (중복 회원 포함 추정)
- 유출 발생 시기: 2026년 9월 3일 ~ 10월 7일 (약 35일간 유출 노출)
- 사고 인지 및 통지: 2026년 10월 16일 비인가 접근 정황을 뒤늦게 인지하고 공지 진행
2. 유출 원인은 무엇일까?
조사 결과에 따르면 이번 해킹은 해커가 가상화폐(암호화폐) 채굴을 목적으로 할리스가 사용하는 클라우드 서버에 비인가 접근을 시도하면서 시작되었습니다.
공격자가 가상자산 채굴을 위해 클라우드 시스템에 침투하는 과정에서, 과거 할리스가 멤버십 서비스 개편을 위해 임시로 올려두었던 과거 멤버십 데이터 파일이 그대로 노출 및 유출된 것으로 파악되었습니다. 수년간 방치된 임시 데이터 파일에 대한 접근 통제 및 파기 관리가 미흡했던 점이 주요 원인으로 지적되고 있습니다.
할리스, 개인정보 276만건 유출…"가상화폐 채굴 목적 접근" 밝혀
커피전문점 할리스의 멤버십 시스템이 해킹당해 고객들의 개인정보 276만건이 새나간 것으로 드러났다.할리스는 19일 공식 입장문을 배포하고 "상세 경위는 (외부 공격자가) 가상화폐 채굴을 위
www.kbsm.net
3. 유출된 개인정보 항목
이번 유출 사고가 특히 심각한 이유는 일반적인 이름이나 연락처 수준을 넘어 비밀번호와 주소 등 2차 피해 위험이 매우 높은 민감 정보가 무더기로 포함되었기 때문입니다.
- 아이디(ID) 및 비밀번호
- 이름, 생년월일, 성별
- 휴대전화번호, 이메일 주소
- 집 주소 / 배송지 주소
- 중복가입확인정보(DI) 및 서비스 이용 정보
4. 주요 논란 및 문제점
사고 발생 후 할리스 측의 미흡한 초기 대응과 관리가 소비자들의 공분을 샀습니다.
- 늑장 신고 및 통보 논란: 10월 16일 해킹 사실을 인지했음에도 법정 신고 기한(24시간)을 넘긴 30시간 만에 한국인터넷진흥원(KISA)에 신고했으며, 고객 대상 문자 통보 역시 인지 후 이틀 뒤에나 이루어졌습니다.
- 수년 묵은 임시 데이터 방치: 서비스 개편용으로 작성된 2020년 이전의 과거 임시 데이터 파일을 파기하지 않고 클라우드에 장기간 방치해두었다는 점이 드러났습니다.
- 비밀번호 암호화 여부 미비: 유출된 비밀번호가 적절히 암호화 처리되어 있었는지에 대한 명확한 해명이 부족해, 타 사이트 계정 도용(크리덴셜 스터핑)에 대한 불안감이 커졌습니다.
5. 할리스 측의 대응 조치
할리스는 사고 발생을 인지한 후 다음과 같은 긴급 대책을 시행 중이라고 밝혔습니다.
- 비인가 접근 차단: 문제가 발생한 클라우드 서비스의 외부 접근 경로를 즉시 차단하고 인증 절차를 강화했습니다.
- 관련 서비스 중단: 해킹 표적이 된 해당 클라우드 기반 멤버십 서비스를 조속히 중단하기로 결정했습니다.
- 관계 기관 신고 및 조사 협조: 개인정보보호위원회 및 한국인터넷진흥원(KISA)에 신고를 완료하고 정확한 피해 경위를 조사하고 있습니다.
- 보안 시스템 전면 재점검: 개인정보 접근 권한 관리, 인증 체계, 보안 모니터링을 강화하고 재발 방지 대책을 마련하겠다고 사과문을 발표했습니다.
6. 이용자 필수 대처 가이드
2020년 2월 이전 가입자라면 2차 피해 예방을 위해 지금 즉시 아래 조치를 취하셔야 합니다.
🔑 비밀번호 즉시 변경 (가장 중요!)
할리스 멤버십 비밀번호를 바꾸는 것은 물론, 할리스와 동일한 아이디/비밀번호를 사용하는 다른 사이트(네이버, 쿠팡, 금융 앱 등)의 비밀번호도 모두 변경해야 합니다. 해커가 유출된 정보를 이용해 다른 사이트에 접속을 시도하는 크리덴셜 스터핑 공격을 차단해야 합니다.
- 스미싱·보이스피싱 주의: 주소와 전화번호, 이름이 함께 유출되었으므로 택배, 결제 관련 출처가 불분명한 문자 내 URL 링크는 절대 클릭하지 마세요.
- 개인정보 침해 신고: 유출로 인한 명의 도용이나 피해 발생 시 개인정보침해신고센터(국번없이 118)로 즉시 신고 및 상담을 진행하세요.
개인정보 유출은 내가 주의해도 기업 측의 보안 허점으로 인해 피해를 볼 수 있어 더욱 안타까운 상황입니다.
2020년 이전 할리스 가입 이력이 있으시다면 2차 피해를 막기 위해 지금 바로 사용 중인 주요 사이트들의 비밀번호를 변경해 보시는 것을 권장합니다.
