[서울=뉴스핌] 김정인 기자 = 커피전문점 할리스의 멤버십 시스템에서 약 276만건의 고객 개인정보가 유출된 것으로 파악됐다. 가상화폐 채굴을 목적으로 클라우드 서비스에 무단 접근하는 과정에서 고객 정보가 빠져나간 것으로 나타났다. 유출 정보에는 아이디와 비밀번호, 이름, 전화번호 등이 포함돼 2차 피해 우려도 제기된다.

19일 할리스에 따르면 회사는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에서 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다. 해킹은 지난달 3일부터 이달 7일 사이 발생한 것으로 추정된다.

◆ 개인정보 276만건 유출…가상화폐 채굴 목적 해킹

할리스는 이번 사고가 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적으로 접근하는 과정에서 발생한 것으로 파악하고 있다.

할리스는 "상세 경위는 가상화폐 채굴을 위해 클라우드 서비스에 비정상 접근한 것으로, 이 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다"고 말했다.

유출된 정보는 현재 운영 중인 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이다. 2009년부터 2020년 2월 11일까지의 누적 고객 데이터가 포함된 것으로 추정된다.

할리스는 "한국인터넷진흥원(KISA)을 통해 신고한 개인정보 유출 규모는 약 276만건으로, 중복 회원을 포함한 수치"라며 "정확한 규모는 추가 확인 중"이라고 설명했다.

◆ 비밀번호·생년월일·주소까지…2차 피해 우려

유출된 개인정보에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등이 포함됐다.

특히 비밀번호와 연락처 등 여러 개인정보가 함께 유출된 만큼 다른 온라인 서비스에 동일한 계정 정보를 사용하는 고객들의 2차 피해 가능성도 우려된다. 다만 현재까지 유출 정보의 외부 악용 여부나 실제 피해 규모는 확인되지 않았다.

할리스는 지난 16일 오후 9시 36분께 홈페이지에 개인정보 유출 사실을 공지하고 고객들에게 비밀번호 변경을 권고했다. 할리스 멤버십뿐 아니라 같은 아이디와 비밀번호를 사용하는 다른 서비스의 비밀번호도 변경해달라고 당부했다.

또 출처가 불분명한 전화나 문자, 이메일에 응답하거나 링크를 클릭하지 않도록 주의를 요청했다. 할리스는 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다고 강조했다.

◆ 할리스 "보안 시스템 전면 점검…멤버십 서비스 중단 예정"

할리스는 개인정보 유출을 확인한 뒤 비인가 접근 경로를 차단하고 인증 절차와 비정상적인 로그인 시도에 대한 모니터링을 강화했다. 관계 기관에 신고를 마쳤으며 사고 경위에 대한 내부 조사도 진행하고 있다.

할리스는 "고객 정보 보호를 위해 개인정보에 대한 접근 권한과 인증 체계, 보안 시스템을 전면 점검하고 필요한 개선 조치를 시행하겠다"며 "해당 클라우드를 사용하는 멤버십 서비스도 조속히 중단할 예정"이라고 전했다.

이어 "유출된 개인정보로 인한 2차 피해 가능성도 지속적으로 점검하고, 이번 사고의 원인과 취약점을 바탕으로 필요한 개선 조치를 시행하겠다"고 했다. 그러면서 "이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다"며 "고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 덧붙였다.

kji01@newspim.com