할리스 고객 개인정보 대거 유출.. 이름부터 주소까지 뚫렸다
9월부터 한 달여간 외부 비인가 접근 정황 포착
유출 피해 인원 미공개…보이스피싱 등 2차 피해 우려
침해 경위 규명과 재발 방지 대책 마련 시급
온라인 서비스 이용에 필요한 계정 정보와 개인을 식별할 수 있는 정보가 한꺼번에 노출되면서 추가적인 계정 탈취와 보이스피싱 등 2차 피해에 대한 우려도 커지고 있다. 피해 규모조차 공개되지 않은 상황에서 고객들의 불안이 확산하고 있다.
18일 관련 업계에 따르면 할리스는 지난 16일 멤버십 시스템에서 개인정보 유출 사실을 확인하고, 이날 피해 대상 고객에게 안내 문자를 발송했다. 외부의 비인가 접근은 지난 9월 3일부터 10월 7일 사이 발생한 것으로 추정된다.
회사가 침해 사실을 확인하기까지 상당한 시간이 소요된 데다 유출 가능성이 있는 정보의 범위도 넓어 보안 관리 체계 전반을 둘러싼 점검이 불가피해졌다.
유출 항목에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 전화번호, 주소, 이메일 주소가 포함됐다. 여기에 온라인상에서 동일인을 식별하는 데 활용되는 중복가입확인정보(DI)와 서비스 이용 관련 정보도 유출 대상에 들어갔다. 고객의 신원을 확인하거나 계정을 관리하는 데 활용되는 정보가 다수 포함된 만큼 피해가 발생할 수 있는 경로도 다양하다.
특히 아이디와 비밀번호가 함께 유출됐다는 점은 추가 피해 우려를 키우는 대목이다. 고객이 여러 사이트에서 동일하거나 유사한 비밀번호를 사용했다면 다른 온라인 서비스 계정까지 침해될 가능성이 있다.
이름과 전화번호, 생년월일 등이 결합되면 개인을 사칭한 문자메시지나 전화로 접근해 금융정보와 인증번호를 빼내려는 범죄에 악용될 소지도 있다. 주소와 이메일까지 노출된 만큼 표적형 스팸이나 피싱 시도에 대한 경계도 필요하다.
피해 대상은 2020년 2월 11일 이전 할리스 멤버십에 가입한 고객으로 파악됐다. 다만 현재까지 구체적인 유출 인원과 정보별 피해 범위는 공개되지 않았다. 오래전에 가입한 고객이 대상에 포함된 만큼 현재도 해당 계정을 이용하는 고객뿐 아니라 과거 가입 이력이 있는 이용자까지 자신의 정보가 유출됐는지 확인할 필요가 있다.
이번 사고는 고객 편의를 위해 운영하는 멤버십 서비스가 개인정보 유출의 통로가 될 수 있다는 점을 보여준다. 기업의 보안 사고는 유출 사실을 알리는 데서 끝나지 않는다. 침해 경위와 원인을 명확히 규명하고, 피해 범위와 대응 조치를 투명하게 공개하는 과정이 뒤따라야 고객 신뢰를 회복할 수 있다. 피해 규모가 공개되지 않은 상황에서 안내 문자만으로 고객의 불안을 해소하기는 어렵다.
할리스는 유출된 정보의 종류와 규모, 공격자가 시스템에 접근한 경로, 비밀번호의 보호 방식과 악용 가능성 등을 면밀히 조사해 고객에게 알려야 한다. 유출 정보가 범죄에 이용되지 않도록 관계 기관과 협력하고, 재발 방지를 위한 보안 강화 조치도 구체적으로 제시할 필요가 있다.
고객 역시 다른 사이트에서 같은 비밀번호를 사용하고 있다면 변경하고, 출처가 불분명한 문자와 이메일의 링크를 누르지 않는 등 추가 피해 예방에 주의를 기울여야 한다는 지적이 제기된다.
개인정보 보호는 기업과 고객 사이의 신뢰를 지탱하는 핵심 요소다. 이번 사고의 피해 범위와 원인에 대한 투명한 공개, 실효성 있는 후속 조치가 이뤄지지 않는다면 멤버십 서비스 전반에 대한 불신으로 번질 수 있다는 목소리가 나온다.