[더팩트 | 손원태 기자] 커피전문점 할리스의 멤버십 시스템이 최근 해킹 공격을 받은 가운데, 약 276만 건의 고객 개인정보가 유출된 것으로 공식 확인됐다.

할리스는 19일 입장문을 통해 "지난 16일 당사 멤버십 정보를 사용하는 클라우드 서비스에 인가되지 않은 접근(해킹)이 발생해 개인정보가 유출된 사실을 확인했다"며 이같이 밝혔다.

할리스는 사고 경위에 대해 가상화폐 채굴을 위해 클라우드 서비스에 비정상 접근이 이뤄졌고, 이로 인해 고객 정보 일부가 유출됐다고 설명했다. 다만 유출된 데이터는 현재 운영 중인 고객 데이터베이스(DB)가 아닌, 과거 멤버십 서비스 개편 과정에서 제공된 임시 데이터 파일로 파악된다고 덧붙였다.

할리스가 한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만 건이다. 이는 2009년부터 2020년 2월 11일까지 축적된 멤버십 데이터이며, 중복 가입자가 포함돼 실제 피해 인원은 추가 확인이 필요할 것으로 보인다.

현재까지 파악된 유출 시점은 2026년 9월 3일부터 10월 7일까지다. 유출된 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 및 서비스 이용 관련 정보다.

할리스는 해당 서비스에 대한 비인가 접근 경로를 차단한 상태로, 인증 절차 및 비정상적 로그인 시도에도 모니터링을 강화하고 있다. 또한 긴급 대응 조치를 가동하고 있으며, 상세 경위에 대한 내부 조사도 이어가고 있다. 관계 기관에 신고 절차도 마쳤으며, 향후 조사에도 적극 협조하겠다는 방침이다.

할리스 측은 "2차 피해를 예방하기 위해 할리스 멤버십 계정을 포함한 동일한 계정 정보를 사용하는 서비스의 비밀번호 변경을 권장한다"며 "출처 불분명한 전화나 문자, 이메일은 응답하거나 링크를 접속하지 않도록 주의를 부탁드린다"고 당부했다.

할리스는 2차 피해 가능성도 예의주시하고 있다. 이번 사고의 원인과 취약점을 분석한 뒤, 개인정보 접근 권한과 인증 체계 등 보안 시스템 전반을 전면 점검하기로 했다. 클라우드를 사용하는 멤버십 서비스도 함께 중단한다.

할리스 측은 "이번 사고로 심려를 끼쳐드린 점 깊이 사과드린다"며 "고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 했다.

tellme@tf.co.kr

• ▶ [TF초점] '나의 유죄인간', 임시완의 로맨틱 코미디 시험대
• ▶ [앨범의 가치①] 듣지도 않는데…1억 장 팔리는 CD의 역설
• ▶ 출퇴근과 캠핑, 두 마리 토끼 잡는 'BMW X1' [오승혁의 팩트 DRIVE]