할리스 해킹 유출 대란? 탈퇴 회원까지 털렸다… 지금 당장 해야 할 2차 피해 예방법

안녕하세요! 평소에 식후나 주말에 가볍게 커피 한 잔 즐기러 할리스(HOLLYS) 매장 찾으셨던 분들 정말 많으시죠? 멤버십 적립도 차곡차곡 하면서 알차게 쿠폰 혜택 챙기셨던 분들이라면 지금 당장 집중해서 이 글을 읽어주셔야 해요.

최근 유명 프랜차이즈 커피 브랜드인 할리스의 멤버십 시스템이 외부 해커로부터 공격을 받아, 고객들의 소중한 개인정보가 대규모로 유출되는 매우 안타깝고 심각한 사건이 발생했답니다. 단순히 이름이나 이메일 정도만 넘어간 게 아니라, 비밀번호와 집 주소, 본인인증 정보까지 털린 상황이라 피해 우려가 커지고 있어요.

내가 혹시 대상자인지, 그리고 2차 피해를 막으려면 지금 당장 무엇을 해야 하는지 사건의 경위부터 필수 행동 수칙까지 하나하나 알기 쉽게 풀어서 정리해 드릴게요!

🛑 1. 도대체 무슨 일이 발생했나요? (사건 경위 살펴보기)

할리스 브랜드의 운영사인 KG에프앤비 발표에 따르면, 지난 10월 16일 멤버십 관리 시스템에 외부의 비인가 접근(해킹 공격)이 발생한 사실을 최종 확인했다고 해요.

할리스 측은 유출 사실을 인지한 사고 당일 밤 9시 36분경, 공식 홈페이지 팝업과 공지사항을 통해 사과문과 함께 개인정보 유출에 관한 안내를 게재했는데요. 문제는 실제 해커가 시스템에 침투해 정보를 빼돌린 기간으로 추정되는 시점이 9월 3일부터 10월 7일까지 무려 한 달이 넘는다는 점이에요.

약 30일이 넘는 시간 동안 우리 고객들의 민감한 정보가 외부 해커에게 아무런 제지 없이 노출되어 있었을 가능성이 매우 높은 상황인 것이죠. 뒤늦게 시스템 이상을 발견하고 차단 조치를 취했다고는 하지만, 이미 정보가 빠져나간 뒤라 이용자들의 불안감은 극에 달하고 있어요.

🔒 2. 내 정보도 포함됐을까? 유출 대상과 민감한 9가지 항목

이번 개인정보 유출 사고의 피해 대상은 2020년 2월 11일 이전에 할리스 멤버십 앱이나 웹사이트에 가입했던 전체 고객이에요. 예전에 가입해 두고 한동안 앱을 쓰지 않았던 분들까지 전부 포함되는 범위랍니다.

특히 이번 사건이 더욱 심각하게 다가오는 이유는, 유출된 항목들이 범죄에 악용되기 너무나 쉬운 핵심 민감 정보들이기 때문이에요. 유출이 확인된 9가지 정보 항목을 함께 볼까요?

• 계정 기본 정보: 아이디(ID), 비밀번호(Password)
• 신원 확인 정보: 이름, 생년월일, 전화번호
• 연락 및 거주 정보: 이메일 주소, 자택/직장 주소
• 본인 인증 키: 중복가입확인정보 (DI)
• 기타 서비스 이용 관련 정보

단순히 "홍길동"이라는 이름이나 이메일 정도만 유출되어도 스팸 메일이 늘어나서 짜증 나는데, 이번에는 비밀번호와 집 주소, 휴대폰 번호, 그리고 주민등록번호를 대체하여 본인인증에 쓰이는 DI(다이렉트 아이덴티티) 정보까지 통째로 넘어갔어요.

해커가 이 정보들을 조합하면 여러분이 어떤 사람인지 완벽하게 파악할 수 있는 수준이라, 스미싱이나 보이스피싱, 타 사이트 계정 도용 같은 2차, 3차 범죄로 이어질 위험이 매우 높답니다.

🤬 3. "탈퇴한 내 정보가 왜 거기서 나와?" 소비자들을 분통 터지게 한 3가지 논란

이번 해킹 사건 이후 할리스 측의 대처 과정을 보며 많은 소비자가 실망과 분통을 터뜨리고 있어요. 어떤 점들이 논란이 되고 있는지 크게 3가지로 나눠볼 수 있어요.

① 공지 따로, 문자 따로? 뒤늦은 '늑장 안내'

사고를 인지한 16일 당일 밤에 홈페이지에 사과문만 덜렁 올려두고, 정작 피해 당사자인 고객들에게 개별 문자 메시지(SMS)를 발송한 것은 이틀이나 지난 후였어요. 게다가 사고 직후 수많은 이용자가 유출 여부를 확인하려고 홈페이지나 앱에 접속하려 했으나, 서버가 먹통이 되거나 접속 장애가 발생하면서 제때 유출 여부를 확인조차 못 하는 큰 불편을 겪었답니다.

② "몇 년 전에 탈퇴했는데 문자가 왔어요" 탈퇴 회원 정보 무단 보관 의혹

가장 큰 충격을 준 부분은 바로 탈퇴 회원들의 반응이었어요. 수년 전에 이미 할리스 멤버십을 탈퇴하고 이용하지 않던 분들이 "개인정보가 유출되었다"는 안내 문자를 받은 것이죠. 개인정보보호법상 회원 탈퇴 등으로 이용 목적이 달성된 개인정보는 즉시 파기하거나 별도 분리 보관해야 함에도 불구하고, 할리스 측이 탈퇴 회원의 개인정보를 파기하지 않고 그대로 시스템에 방치해 두었다가 함께 털린 것이 아니냐는 강력한 의혹이 제기되고 있어요.

③ 나흘이 지나도록 "피해 규모 파악 중"이라는 무성의한 태도

사건이 알려진 지 며칠이 지났음에도 불과하고 운영사인 KG에프앤비 측은 정확히 몇 명의 회원 정보가 유출되었는지, 유출된 정보가 실제로 외부에서 악용된 사례가 있는지에 대해 "현재 관계 기관과 함께 피해 규모를 조사 중"이라는 똑같은 답변만 되풀이하고 있어요. 답답한 마음에 고객센터로 전화해도 연결이 되지 않고 ARS 안내음만 반복되어 피해자들의 답답함은 더해지고 있답니다.

🛡️ 4. 피해를 막기 위해 지금 당장 실천해야 할 5가지 행동 수칙

"이미 털렸는데 어쩌겠어..." 하고 방치하시면 절대 안 돼요! 유출된 정보를 이용해 여러분의 다른 자산이나 계정을 노리는 2차 공격을 막기 위해 지금 즉시 아래 5가지 조치를 취해주세요.

[🚨 개인정보 유출 직후 필수 행동 체크리스트]
1. 할리스 계정 비밀번호 변경하기
2. 동일한 ID/PW를 쓰는 다른 웹사이트 비밀번호 교체하기
3. 출처가 불분명한 문자/메일의 URL 링크 절대 클릭 금지
4. 할리스를 사칭한 금융/결제 정보 요구 거절하기
5. 명의도용 방지 서비스(Msafer) 및 털린 내 정보 찾기 활용하기

1️⃣ 할리스 앱 및 홈페이지 비밀번호 변경

가장 먼저 할리스 앱이나 공식 홈페이지에 접속하셔서 비밀번호를 완전히 새로운 조합으로 바꿔주세요.

2️⃣ 같은 아이디/비밀번호를 쓰는 타 사이트 비밀번호 전부 교체

많은 분이 기억하기 쉽다는 이유로 네이버, 카카오, 쇼핑몰, 은행, 기타 커뮤니티 등 여러 사이트에서 똑같은 아이디와 비밀번호를 돌려가며 사용하시죠? 해커들은 빼낸 계정 정보를 다른 주요 사이트에 그대로 대입해 로그인을 시도하는 '크리덴셜 스터핑(Credential Stuffing)' 공격을 감행합니다. 동일한 계정 정보를 사용하는 다른 사이트가 있다면 지금 바로 비밀번호를 변경하셔야 추가 피해를 막을 수 있어요!

3️⃣ 출처가 불확실한 문자 및 이메일 링크(URL) 클릭 금지

전화번호와 이름, 주소까지 털렸기 때문에 여러분의 신원 정보를 정확히 알고 접근하는 정교한 스미싱 문자가 기승을 부릴 수 있어요.

• "택배 배송 주소지 오류 수정 요청"
• "모바일 청첩장/부고장"
• "할리스 개인정보 유출 보상 쿠폰 지급"

이런 식의 문자에 포함된 인터넷 링크(URL)는 절대 누르지 마시고 바로 삭제하세요.

4️⃣ 금융 정보 요구는 100% 사기!

할리스나 관계 기관에서는 절대로 문자나 전화로 고객의 계좌번호, 카드번호, OTP 번호, 비밀번호 등 금융 정보를 요구하지 않아요. 만약 할리스 고객센터나 보상 관련이라며 금융 정보를 물어본다면 100% 피싱 범죄이니 즉시 통화를 종료하고 차단해 주세요.

5️⃣ 명의도용 방지 서비스 및 보안 점검 활용

주민등록번호 대체값인 DI 정보까지 넘어갔기 때문에, 혹시라도 내 명의로 알뜰폰이 개통되거나 신규 통신 서비스가 가입되지 않았는지 확인해 볼 필요가 있어요.

• Msafer (명도용 방지서비스): 내 명의로 신규 가입된 이동전화나 인터넷 서비스가 있는지 조회하고, 신규 개통을 사전에 차단할 수 있어요.
• KISA 털린 내 정보 찾기: 개인정보보호위원회와 KISA에서 제공하는 서비스로, 유출된 계정 정보가 다크웹 등에 유포되었는지 점검할 수 있답니다.

💡 5. 마치며: 반복되는 기업들의 보안 불감증, 이대로 괜찮을까?

유명 대기업이나 대형 플랫폼뿐만 아니라, 우리가 일상 속에서 가장 친숙하게 방문하던 프랜차이즈 커피 전문점마저 보안의 안전지대가 아니라는 사실이 이번 사건으로 다시 한번 드러났어요.

KG그룹이 인수하여 운영 중인 할리스 측은 비인가 접근 경로를 차단하고 인증 절차 및 비정상 로그인 모니터링을 강화했다고 밝혔지만, 이미 유출되어 버린 고객들의 민감한 정보와 실추된 신뢰를 되돌리기는 쉽지 않아 보입니다.

2020년 2월 11일 이전에 할리스 멤버십에 가입했던 이력이 있으시다면, "나는 괜찮겠지" 하고 넘기지 마시고 오늘 알려드린 행동 요령에 따라 비밀번호 변경과 보안 점검을 꼭 진행해 보시길 바랍니다. 소중한 내 개인정보, 우리가 스스로 꼼꼼하게 챙기고 방어해야 하는 시점입니다!