비밀번호·집주소까지 유출…할리스, 약 276만 건에 공식 사과

ⓒ할리스

할리스가 멤버십 고객 정보 유출에 공식 사과하고 사고 수습과 보안 체계 개선을 약속했다.

19일 할리스는 입장문을 통해 “이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다”며 사고 경위와 대응 조치를 설명했다.

회사 측에 따르면 사고 확인 직후 해당 서비스의 비인가 접근 경로를 차단하고 인증 절차와 비정상적인 로그인 시도에 대한 모니터링을 강화했다.

관계 기관 신고 절차도 완료했으며, 내부 조사를 진행하는 동시에 향후 관계 기관 조사에 적극 협조하겠다고 밝혔다.

추가 피해를 막기 위한 고객 주의도 당부했다. 할리스 멤버십 계정을 포함해 동일한 계정 정보를 사용하는 서비스의 비밀번호를 변경하고 출처가 불분명한 전화·문자·이메일에는 응답하거나 링크를 클릭하지 말아 달라는 설명이다.

할리스는 유출된 개인정보로 인한 2차 피해 가능성을 지속적으로 점검하고 사고 원인과 취약점을 바탕으로 개인정보 접근 권한과 인증 체계, 보안 시스템을 전면 점검할 방침이다. 해당 클라우드를 사용하는 멤버십 서비스도 조속히 중단하기로 했다.

앞서 할리스는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다. 회사 측은 가상화폐 채굴을 목적으로 한 비정상 접근 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다.

한국인터넷진흥원(KISA)에 신고한 유출 규모는 약 276만 건이다. 중복 회원을 포함해 2009년부터 2020년 2월 11일까지 누적된 고객 데이터로 추정된다.

할리스는 현재 운영 중인 고객 데이터베이스(DB)가 아닌, 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이 유출된 것으로 보고 정확한 규모를 추가 확인하고 있다.

현재까지 파악된 유출 시점은 올해 9월 3일부터 10월 7일 사이다. 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 및 서비스 이용 관련 정보다.

할리스는 “고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다”고 밝혔다.