가상화폐 채굴 목적 접근 과정에서 유출
2009~2020년 누적 고객 정보 9개 항목
할리스, 인지 후 이틀 지나 고객에 알려

커피전문점 할리스의 멤버십 시스템이 해킹당해 고객들의 개인정보 276만건이 유출된 것으로 드러났다. 할리스커피는 지난 16일 사고를 인지한 뒤 관련 내용을 홈페이지에만 게시하고, 고객들에게는 이틀이 지나서야 문자메시지로 통보한 것으로 파악됐다.

할리스는 19일 공식 입장문에서 “상세 경위는 (외부 공격자가) 가상화폐 채굴을 위해 클라우드 서비스에 비정상적으로 접근하는 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다”고 밝혔다.

이어 “유출된 데이터는 현재 활성화된 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일로 파악하고 있다”면서 “한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만건”이라고 밝혔다.

또 “중복 회원을 포함해 2009년부터 2020년 2월 11일 이내의 누적 고객 데이터로 추정하고 있다”며 “정확한 규모는 추가 확인 중”이라고 설명했다.

유출 항목에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 이외 서비스 이용 관련 정보 등 9가지 항목이 포함됐다.

할리스는 지난 16일 멤버십 시스템에 외부의 인가되지 않은 접근이 발생해 고객 개인정보가 유출된 사실을 확인했으며, 당일 오후 9시 36분 이런 사실을 회사 홈페이지에 공지했다. 하지만 관련 내용을 피해 고객에게는 이틀 뒤인 지난 18일 문자메시지로 통보한 것으로 파악됐다.

정보 유출 통보를 받은 한 고객은 “어제 저녁 할리스로부터 정보 유출 관련 문자를 받았다”며 “내용을 확인하려고 문자에 안내된 할리스 고객센터로 전화했지만 담당자와 통화할 방법도 없고 홈페이지도 몇 시간 동안 다운돼 있었다”고 했다.

앞서 KG그룹은 2020년 9월 할리스에프앤비 지분 93.8%를 1450억원에 인수했다. 운영사는 이후 KG할리스에프앤비를 거쳐 2024년 KG에프앤비로 사명을 변경했다.

세줄 요약

할리스커피 멤버십 시스템이 해킹돼 고객 개인정보 약 276만건이 유출됐다. 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일 등 9개 항목이 포함됐고, 회사는 과거 임시 데이터 파일이 유출된 것으로 보고 있다. 사고 인지 후 고객 통보가 늦었다는 지적도 나왔다.

• 할리스 멤버십 해킹, 개인정보 276만건 유출
• 비밀번호·주소 등 민감 정보 9종 포함
• 사고 인지 뒤 고객 통보 지연 논란