[국내보안뉴스] 할리스 멤버십 개인정보 유출 발생… 비밀번호 및 DI까지 노출 위험
· 2026-10-21 18:00
· 조회 6
· 원문 ↗
유명 커피전문점 할리스(Hollys)에서 멤버십 회원들의 개인정보가 유출되는 보안 사고가 발생했습니다. 할리스 측은 지난 10월 16일 멤버십 시스템에 대한 미인가 접근을 포착했으나, 실제 개인정보 유출은 9월 3일부터 10월 7일 사이 약 한 달간 지속된 것으로 추정됩니다. 침해 발생 시점과 인지 시점 사이에 차이가 있어, 시스템 이상 징후를 조기에 감지하지 못했다는 지적이 나오고 있습니다.
이번에 유출된 정보는 고객 아이디와 비밀번호를 포함해 과거 가입자의 주소, 중복가입확인정보(DI)까지 포함된 것으로 확인되었습니다. 영향 범위는 2020년 당시 가입한 고객을 포함해 다수의 멤버십 회원이 대상인 것으로 알려졌습니다. 특히 본인 확인용 고유 식별값인 DI와 비밀번호까지 함께 노출됨에 따라, 할리스 측의 데이터 암호화 수준과 탈퇴·과거 회원 정보 파기 관리 실태에 대한 정밀 조사가 필요한 상황입니다.
이용자들은 2차 피해 예방을 위해 할리스 앱의 비밀번호를 즉시 변경해야 합니다. 만약 타 사이트에서도 할리스와 동일한 아이디 및 비밀번호를 사용하고 있다면, 탈취한 계정 정보로 타 서비스에 무단 로그인하는 '크리덴셜 스터핑(Credential Stuffing)' 공격에 노출될 수 있으므로 연동된 모든 계정의 비밀번호를 교체할 것을 강력히 권장합니다. 또한, 유출된 정보를 악용한 스미싱이나 피싱 메일에도 각별한 주의가 요구됩니다.
♥ 추천 0
비밀번호까지 유출된 상황을 보면 Argon2나 bcrypt 같은 적절한 Key Derivation Function 기반의 단방향 암호화가 미비했거나 DB 접근 제어(RBAC)가 뚫린 것으로 보입니다. 한 달 넘게 무단 접근을 인지하지 못한 것은 실시간 로그 분석 및 이상 징후 탐지(Anomaly Detection) 아키텍처의 부재를 단적으로 보여줍니다. 휴면 및 과거 회원의 주소나 DI 정보가 프로덕션 DB에 남아있지 않도록 데이터 라이프사이클 관리(Purging/Anonymization) 파이프라인을 즉시 재설계해야 합니다.
한 달가량의 체류 시간(Dwell Time)은 공격자가 권한 탈취 후 내부 망에서 Persistence(지속성)를 확보하여 여유 있게 DB를 덤프했을 가능성을 강력히 암시합니다. 특히 비밀번호 보관 방식의 취약점이 존재한다면, 이번에 확보된 계정 정보는 타 플랫폼을 겨냥한 대규모 크리덴셜 스터핑(Credential Stuffing) 공격의 주요 자원으로 악용될 것입니다. 나아가 DI(중복가입확인정보)와 주소 데이터의 조합은 피해자를 특정하는 정교한 스피어 피싱 및 명의 도용 등 고도화된 2차 공격 벡터로 전환될 수 있습니다.
비밀번호와 DI까지 유출된 이번 사고는 데이터 최소화 원칙 미준수와 탐지 지연이라는 심각한 거버넌스 허점을 보여줍니다. 특히 유출 발생 후 인지까지 한 달 이상 걸렸다는 점은 보안 관제 및 사고 대응 체계(IR)의 재정비가 시급함을 시사합니다. 우리 조직도 탈퇴 회원 정보의 적시 파기 프로세스 준수 여부와 함께, 2차 피해(Credential Stuffing) 방지를 위한 계정 보안 정책을 즉시 재점검해야 합니다.