커피전문점 할리스의 멤버십 시스템이 해킹당해 고객들의 개인정보가 유출된 것으로 알려진 19일 시민들이 서울 시내 할리스 커피매장을 이용하고 있다. 할리스는 지난 16일 멤버십 시스템에 외부의 인가되지 않은 접근이 발생해 고객 개인정보가 유출된 사실을 확인했으며 당일 이런 사실을 회사 홈페이지에 공지했다. [사진=연합뉴스]

커피전문점 할리스의 멤버십 시스템이 해킹당해 고객 개인정보 276만건이 유출된 것으로 드러났다.

할리스는 19일 공식 입장문을 내고 경위를 설명했다. 외부 공격자가 가상화폐를 채굴하려고 클라우드 서비스에 비정상적으로 접근하는 과정에서 고객 정보 일부가 새어 나갔다는 것이다. 유출된 데이터는 현재 운영 중인 고객 데이터베이스(DB)가 아니라, 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이라고 밝혔다.

한국인터넷진흥원(KISA)에 신고한 유출 규모는 약 276만건이다. 할리스는 중복 회원을 포함해 2009년부터 2020년 2월 11일까지 쌓인 누적 고객 데이터로 추정하며, 정확한 규모는 추가로 확인하고 있다고 했다.

유출 항목은 모두 9가지다. 아이디와 비밀번호를 비롯해 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 그 밖의 서비스 이용 관련 정보가 포함됐다. 할리스는 지난달 3일부터 이달 7일까지 약 한 달여 사이에 정보가 빠져나간 것으로 추정했다.

할리스는 지난 16일 멤버십 시스템에 외부의 인가되지 않은 접근이 있었음을 확인하고, 당일 오후 9시 36분께 이를 홈페이지에 공지했다. 이어 고객들에게 "멤버십 계정의 비밀번호를 즉시 변경해달라"며 같은 아이디·비밀번호를 쓰는 다른 서비스의 비밀번호도 바꿔달라고 당부했다.

출처가 불분명한 전화·문자·이메일에는 응답하거나 링크를 누르지 말라고 했고, "할리스는 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다"고 강조했다. 할리스는 "이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다"며 "고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 밝혔다.

후속 조치도 내놨다. 비인가 접근 경로를 차단하고 인증 절차를 강화했으며, 비정상적인 로그인 시도에 대한 모니터링도 키웠다. 관계 기관에 신고하고 조사에도 협조하고 있다고 했다. 2차 피해 가능성을 계속 점검하고, 이번 사고의 원인과 취약점을 토대로 접근 권한과 인증 체계, 보안 시스템을 전면 점검해 개선하겠다는 약속도 입장문에 담겼다. 해당 클라우드를 쓰는 멤버십 서비스는 조속히 중단할 예정이다.

다만 고객 안내가 늦었다는 지적이 나온다. 할리스는 사고를 인지한 16일 관련 내용을 홈페이지에만 올렸고, 고객에게는 이틀이 지난 18일에야 문자메시지로 알린 것으로 파악됐다. 18일에는 한때 할리스 모바일과 PC 홈페이지 접속이 한동안 불가능하기도 했다.

최근 기업의 개인정보 유출 사고가 잇따르는 가운데, 일상적으로 이용하는 커피전문점에서도 고객 정보가 외부로 빠져나간 사실이 확인되면서 소비자들의 불안이 커질 것으로 보인다. 앞서 KG그룹은 2020년 9월 할리스에프앤비 지분 93.8%를 1천450억원에 인수했고, 운영사는 이후 KG할리스에프앤비를 거쳐 2024년 KG에프앤비로 사명을 바꿨다.

“ 저작권자 ⓒ 퍼스널포커스 무단전재 및 재배포 금지 ”