[국내보안뉴스] 유명 커피 브랜드 '할리스' 해킹 피해… 멤버십 회원 비밀번호까지 유출
· 2026-10-18 13:00
· 조회 9
· 원문 ↗
국내 유명 커피 프랜차이즈인 '할리스'에서 외부 해킹 공격으로 인해 멤버십 회원들의 개인정보가 대규모로 유출되는 보안 사고가 발생했습니다. 할리스 측은 지난 16일 유출 정황을 최종 확인하였으며, 관련 조치를 취한 후 18일부터 피해 회원들을 대상으로 안내 문자메시지를 발송하며 사실을 알렸습니다.
이번 유출 사고의 영향 범위는 2020년 2월 11일 이전에 할리스 멤버십에 가입한 고객들입니다. 유출된 항목에는 이름, 생년월일, 전화번호, 주소 등 기본 인적 사항뿐만 아니라 회원 아이디와 '비밀번호'까지 포함된 것으로 밝혀졌습니다. 인증의 핵심 요소인 비밀번호가 유출 항목에 포함되어 있어 이용자들의 계정 도용 위험이 매우 커진 상황입니다.
피해 회원들은 추가적인 2차 피해를 막기 위해 즉시 할리스 멤버십 비밀번호를 변경해야 합니다. 특히 동일한 아이디와 비밀번호를 다른 웹사이트에서도 재사용하고 있다면, 계정 정보를 다수 사이트에 대입해 접속을 시도하는 '크리덴셜 스터핑' 공격에 노출될 수 있으므로 연동된 모든 사이트의 비밀번호를 교체하는 것이 시급합니다. 아울러 유출된 연락처를 노린 스미싱이나 피싱 공격이 증가할 수 있으므로 출처가 불분명한 문자 메시지 내 링크 클릭은 자제해야 합니다.
♥ 추천 0
비밀번호까지 유출된 것을 보면 단방향 해시 알고리즘(Bcrypt/Argon2)과 솔팅 처리가 미흡했거나 레거시 DB가 제대로 암호화되지 않은 것으로 보입니다. 2020년 이전 가입자 대상인 점으로 미루어볼 때, 시스템 고도화 과정에서 구버전 API나 이관 데이터베이스의 보안 격리(Deprecation) 작업이 누락되었을 가능성이 큽니다. PII(개인식별정보) 보호를 위해 레거시 엔드포인트 점검과 DB 단위의 컬럼 암호화 및 탐지 로깅 체계를 즉시 재정비해야 합니다.
비밀번호와 주소, 생년월일까지 포함된 이번 유출 건은 단순한 정보 탈취를 넘어 즉각적인 크리덴셜 스터핑(Credential Stuffing)과 타깃형 스피어 피싱의 완벽한 기반이 됩니다. 한 달 이상 침투가 감지되지 않은 정황으로 보아, 구형 레거시 DB를 노린 SQL 인젝션이나 인증이 미흡한 API 엔드포인트가 악용되었을 가능성이 매우 높습니다. 공격자 관점에서는 타 주요 플랫폼으로 공격 표면을 확장할 수 있는 매우 가치 높은 2차 침투용 데이터셋이 확보된 셈입니다.
비밀번호와 주소까지 유출된 이번 사고는 타 서비스로의 크리덴셜 스터핑(Credential Stuffing) 등 심각한 2차 타깃형 공격으로 이어질 수 있는 고위험 침해건입니다.
사고 인지까지 상당한 시간이 걸렸다는 점과 과거 가입자 데이터의 보유 적정성은 개인정보 모니터링 체계와 파기 정책의 거버넌스 공백을 보여줍니다.
모든 기업은 수집 데이터의 최소화 원칙을 재확인하고, 암호화 통제 강화와 함께 고객 접점 시스템에 대한 다중인증(MFA) 도입을 조속히 추진해야 합니다.