① 핵심 한 줄

커피전문점 할리스는 10월 19일 개인정보 약 276만 건이 외부에 유출됐다고 밝히고 비밀번호 변경을 권고했다. 유출 대상에는 과거 멤버십 개편용 임시 데이터 파일이 포함돼 장기간 보관된 개인정보의 접근권한·파기 관리가 핵심 쟁점으로 떠올랐다.

② 무슨 일이 있었는지

할리스는 10월 16일 멤버십 관련 시스템에 허가받지 않은 접근과 개인정보 유출이 있었다는 사실을 확인하고 홈페이지에 공지했다. 10월 19일 후속 안내에서는 외부 공격자가 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적으로 접근하는 과정에서 정보가 유출된 것으로 파악한다고 설명했다. 회사는 비인가 경로 차단, 인증 강화, 로그인 이상징후 감시와 관계기관 신고·조사를 진행 중이라고 밝혔다. 공격 목적과 구체적인 침입 경로는 회사의 현재 설명으로, 독립적인 조사 결과로 최종 확정된 것은 아니다.

③ 핵심 수치·발표·변경점

  • 신고된 개인정보 규모: 약 276만 건. 중복 고객이 포함된 자료로 추정되며 276만 명의 고유 피해자가 확정됐다는 뜻은 아니다.

  • 데이터 대상 기간: 회사 설명상 2009년부터 2020년 2월 11일까지 축적된 옛 고객 데이터로 추정된다.

  • 유출 추정 기간: 2026년 9월 3일~10월 7일.

  • 유출 항목: 계정 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등 9개 항목. 개인별로 모든 항목이 포함됐는지는 별도 확인이 필요하다.

할리스 공식 공지 목록에는 10월 16일 사과·안내와 19일 후속 안내가 게시돼 있다. 자세한 인원·악용 범위는 조사 중이며, 비밀번호가 어떤 형태로 저장돼 있었는지와 탈퇴 회원 정보의 보유·파기 적법성도 이번 조회에서 확정하지 못했다.

④ 배경과 원인

서비스 개편 때 생성한 임시 파일이라도 고객 식별정보를 담고 있으면 접근통제·보관기간·파기 여부를 지속 관리해야 한다. 실제 사용 중인 데이터베이스와 분리돼 있다는 설명만으로 사고의 영향이 사라지지는 않는다. 이번 사고는 운영 서버뿐 아니라 과거 이관·백업 자료가 공격 경로가 될 수 있다는 점을 보여준다. 다만 임시파일의 존재 자체가 바로 법 위반이라는 결론은 아니며 조사로 확인해야 한다.

⑤ 시민·가구·기업에 미칠 수 있는 영향

기존 할리스 회원은 멤버십 비밀번호를 바꾸고, 동일하거나 유사한 비밀번호를 사용한 다른 서비스도 각각 변경하는 것이 중요하다. 이름·주소·연락처 유출은 기업을 사칭한 피싱과 스미싱의 재료가 될 수 있다. 할리스는 문자메시지의 링크로 비밀번호나 결제정보를 요구하지 않는다고 안내했다. 개별 유출 통지 여부는 공식 사이트와 기업 고객센터에서 확인하되, 아직 실제 2차 피해가 얼마나 발생했는지는 확인되지 않았다.

⑥ 앞으로 확인할 포인트

개인정보보호위원회·한국인터넷진흥원 등의 조사 결과, 고유 피해자 규모, 암호화·인증 방식, 장기보유 자료의 삭제 기준, 피해자 개별 통지와 재발방지 조치의 완료 여부를 확인해야 한다. 기업 발표의 약 276만 건은 추후 정정될 수 있다.

⑦ 출처