커피전문점 할리스의 멤버십 시스템 침해로 고객 276만 건의 민감 개인정보가 유출된 구체적 경위와 가상화폐 채굴 악성코드 해킹 정황, 법정 시한 24시간을 넘긴 29시간 늑장 신고 논란 및 소비자의 크리덴셜 스터핑 2차 피해 방지 긴급 대응 수칙을 심층 취재하여 보도합니다.
1. 276만 건 고객 DB 유출 경위와 크립토재킹 해킹 의혹
이번 유출 사고는 지난 9월 초부터 10월 7일 사이 해커 조직이 할리스의 클라우드 서버에 비인가 접근하면서 발생한 것으로 조사되었다. 조사 당국과 보안 업계에 따르면 해커들의 주된 침투 목적은 서버 컴퓨팅 자원을 무단 점거하여 가상화폐(암호화폐)를 채굴하는 이른바 크립토재킹(Cryptojacking) 공격이었던 것으로 파악된다. 그러나 침투 과정에서 과거 2020년 2월 멤버십 시스템 개편 당시 작업용으로 보관 중이던 276만 건의 과거 고객 임시 백업 파일이 외부로 유출되는 치명적인 데이터 탈취가 병행되었다. 유출된 항목에는 아이디(ID), 비밀번호, 이름, 생년월일, 휴대전화번호, 주소, 이메일, 중복가입확인정보(DI) 등 8대 핵심 개인 식별 정보가 대거 포함되어 있어 단순 접속 오류를 넘어선 대형 보안 참사라는 지적이 나온다.
2. 한눈에 비교하는 유출 핵심 항목 및 사안별 쟁점 정밀 대비표
할리스 사태는 보관 의무가 만료되었거나 개편 직후 즉시 파기되었어야 할 대규모 고객 임시 파일이 클라우드 내에 무방비로 방치되어 있었다는 점에서 기업의 보안 불감증을 여실히 드러냈다. 개인정보보호법에 따르면 보유 목적이 달성된 개인정보는 지체 없이 파기해야 하지만, 수년 전 개편 당시의 방대한 데이터가 클라우드 스토리지 구석에 방치되어 해커들의 손쉬운 먹잇감이 되었다. 더욱이 유출된 데이터에는 비밀번호와 주소 등 타 사이트 침입에 악용될 수 있는 위험 항목이 다수 포함되어 2차 범죄 위험성이 매우 높다. 아래의 정밀 대비표를 통해 유출 규모와 법적 쟁점, 그리고 소비자가 취해야 할 실질적인 조치 사항을 대조해 보면 다음과 같다.
| 구분 항목 | 유출 및 사고 실태 | 잠재 위험 및 위법 쟁점 | 소비자 대응 및 구제 방안 |
|---|---|---|---|
| 피해 규모 및 기간 장기 보관 데이터 |
276만 건 (2009년~2020년 2월 가입 누적 회원 데이터) | 목적 달성 후 파기되어야 할 임시 백업 파일의 수년간 방치 | 할리스 가입 이력 확인 및 수신된 안내 문자 내용 점검 |
| 유출 개인정보 항목 8대 핵심 정보 |
아이디, 비밀번호, 성명, 생년월일, 전화번호, 주소, 이메일, DI | 동일 계정 정보 무작위 대입을 통한 타 사이트 2차 해킹 위험 | 동일 아이디·비밀번호를 쓰는 모든 포털·쇼핑몰 비번 즉시 변경 |
| 해킹 원인 및 정황 크립토재킹 공격 |
가상화폐 채굴 목적의 비인가 접근 과정에서 데이터 파일 유출 | 클라우드 인프라 보안 관리 부실 및 비정상 트래픽 탐지 실패 | 금융 및 결제 계정 OTP 및 2단계 인증(2FA) 필수 활성화 |
| 당국 신고 및 제재 29시간 늑장 신고 |
인지 시점(10월 16일)부터 약 29시간 이상 소요 후 KISA 신고 | 개인정보보호법상 24시간 이내 신고 의무 위반 및 과징금 조사 | 개인정보 분쟁조정위원회 구제 신청 및 집단 손해배상 검토 |
3. 법정 24시간 넘긴 ‘29시간 늑장 신고’와 개인정보위 조사 쟁점
사고 자체의 심각성과 더불어 운영사인 케이지에프앤비(KG F&B)의 안이한 사후 대처가 도마 위에 올랐다. 현행 개인정보보호법 제34조는 개인정보 유출 사실을 인지한 때로부터 정당한 사유가 없는 한 24시간 이내에 개인정보보호위원회나 한국인터넷진흥원(KISA)에 신고하도록 엄격히 규정하고 있다. 그러나 할리스 측은 지난 10월 16일 오전 시스템 침해 정황을 사내에서 인지하고도 법정 시한을 5시간 이상 초과한 약 29시간 만에 KISA에 공식 신고를 접수했다. 개인정보보호위원회는 이번 늑장 신고 경위와 함께, 임시 데이터 암호화 조치 여부, 접근 통제 및 파기 의무 위반 여부에 대해 전방위 현장 조사에 착수했으며, 위법 사항이 확인될 경우 법 개정 후 강화된 전체 매출액 비례 과징금 부과 등 강력한 행정 처분을 검토 중이다.
유출 피해를 입은 이용자들은 추가적인 금전적·사생활 피해를 막기 위해 즉각적인 방어 조치를 취해야 한다. 첫째, 가장 시급한 것은 크리덴셜 스터핑(Credential Stuffing) 공격 방어다. 해커들은 유출된 할리스 아이디와 비밀번호를 네이버, 카카오, 구글, 주요 은행 및 쿠팡 등 대형 플랫폼에 무작위 대입하여 2차 로그인을 시도하므로, 동일하거나 유사한 비밀번호를 사용하는 모든 웹사이트의 비밀번호를 즉시 변경해야 한다. 둘째, 주소와 휴대전화번호가 노출된 만큼 택배 배송 오류, 카드 부정 발급, 결제 승인 등을 사칭한 스미싱 문자가 기승을 부릴 가능성이 높으므로 문자메시지 내 포함된 인터넷 주소(URL)는 절대로 클릭하지 말아야 한다. 셋째, 주요 금융 및 포털 계정에 OTP나 생체 인증 등 2단계 인증(2FA)을 필수로 설정해야 한다.
0 댓글