할리스 해킹, 비밀번호·주소·DI 유출됐다… 2020년 2월 이전 가입자가 지금 해야 할 5가지

9월 3일부터 10월 7일, 약 5주간 이어진 외부 침입

커피 프랜차이즈 할리스의 멤버십 시스템이 해킹돼 고객 개인정보가 유출됐다. 할리스가 10월 18일 고객에게 보낸 통지에 따르면, 외부의 인가되지 않은 접근은 9월 3일부터 10월 7일 사이 약 5주간 이어졌고, 회사는 10월 16일에야 이를 확인했다. 유출이 끝난 지 9일 만의 인지다.

유출 대상은 2020년 2월 11일 이전에 할리스 멤버십에 가입한 고객이다. 다만 전체 피해 회원 규모는 공개되지 않았다. 사고가 알려진 직후 할리스 모바일 앱과 공식 웹사이트 접속이 일시 마비되는 혼란도 빚어졌다.

비밀번호까지 유출된 사고는 단순한 연락처 유출과 다르다. 같은 아이디·비밀번호를 다른 사이트에서도 쓰고 있다면, 그 계정들까지 함께 위험해진다. 지금 당장 무엇을 해야 하는지 순서대로 정리했다.

왜 특히 위험한가 — 비밀번호와 DI

이번 사고에서 가장 뼈아픈 대목은 아이디와 비밀번호가 함께 유출됐다는 점이다. 이름·전화번호·주소 유출도 문제지만, 로그인 정보까지 통째로 넘어가면 피해가 다른 사이트로 번질 수 있다. 많은 사람이 여러 사이트에 같은 아이디·비밀번호를 쓰기 때문이다. 유출된 조합을 다른 쇼핑몰·포털·금융 사이트에 대입해 보는 공격을 '크리덴셜 스터핑'이라 부른다. 할리스 비밀번호를 다른 곳에서도 썼다면, 그 계정들도 지금 위험하다.

DI(중복가입확인정보)는 온라인 본인확인 과정에서 쓰이는 식별 정보다. 단독으로는 직접적인 피해로 이어지기 어렵지만, 이름·생년월일·전화번호 같은 다른 유출 정보와 결합되면 본인 사칭이나 명의도용 시도의 재료가 될 수 있다.

지금 당장 해야 할 5가지

첫째, 할리스 멤버십 비밀번호를 즉시 변경한다. 공식 앱이나 홈페이지에 직접 접속해서 바꾸고, 문자·이메일 속 링크로는 접속하지 않는다. 둘째, 할리스와 같은 아이디·비밀번호를 쓰는 다른 모든 사이트의 비밀번호를 바꾼다. 특히 이메일·쇼핑몰·금융 계정을 우선한다. 셋째, 앞으로는 사이트마다 다른 비밀번호를 쓴다. 외우기 어렵다면 비밀번호 관리자 앱을 쓰는 것이 현실적인 방법이다.

넷째, 할리스를 사칭한 문자·전화·이메일을 경계한다. '할리스입니다, 링크를 눌러 정보를 확인하세요' 같은 연락은 일단 의심한다. 다섯째, 2주간은 카드·계좌의 알림을 켜 두고 이상 거래가 없는지 확인한다.

스미싱 구별법 — 딱 한 가지 규칙

유출 사고 직후에는 해당 기업을 사칭한 스미싱·피싱이 급증하는 것이 정석이다. 할리스도 이를 의식한 듯, 관계자는 '문자로 링크를 보내거나 비밀번호와 금융·결제 정보를 요구하지 않는다'고 밝혔다. 즉, 할리스를 자처하며 문자에 링크를 걸어 보내거나 비밀번호·카드번호를 묻는 연락은 모두 가짜다.

출처가 불분명한 문자·이메일의 링크는 누르지 말고, 확인할 일이 있으면 공식 앱이나 홈페이지에 직접 접속한다. 할리스 역시 멤버십 계정 비밀번호와 동일 아이디·비밀번호를 쓰는 타 서비스 비밀번호를 즉시 변경하라고 권고했다.

피해를 입었거나 불안하다면 — 신고 창구

개인정보보호위원회 개인정보 포털이 안내하는 공식 창구는 다음과 같다. 개인정보 침해 상담·신고는 개인정보침해신고센터(국번 없이 118), 피해 구제·분쟁 조정은 개인정보분쟁조정위원회(국번 없이 1833-6972)다. 온라인 신고는 개인정보 포털(privacy.go.kr)에서도 가능하다. 금전 피해가 발생했다면 경찰청 사이버수사국(국번 없이 182)에도 신고할 수 있다.

아직 밝혀지지 않은 것

첫째, 정확한 피해 규모다. 할리스는 대상을 '2020년 2월 11일 이전 가입 고객'이라고만 밝혔고 인원 수는 공개하지 않았다. 둘째, 유출된 비밀번호의 암호화 여부다. 현재까지 공개된 보도에서 비밀번호가 암호화돼 있었는지는 언급되지 않았다. 암호화되지 않은 상태로 유출됐다면 크리덴셜 스터핑 위험은 더 커진다.

셋째, 인지 지연이다. 유출 추정 종료(10월 7일)부터 확인(10월 16일)까지 9일이 걸렸고, 침입 자체는 9월 3일부터 약 5주간 이어졌다. 넷째, 관계 기관 조사 결과다. 할리스는 관계 기관에 신고하고 조사에 협조 중이라고 밝혔다. 조사 결과에 따라 추가 내용이 공개될 수 있다.

출처

마무리

할리스 멤버십에 2020년 2월 11일 이전에 가입했다면, 오늘 할 일은 분명하다. 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 사이트도 바꾼다. 스미싱 문자는 '할리스는 문자로 링크를 보내지 않는다'는 한 가지 규칙으로 걸러낸다. 개인정보 유출 사고에서 가장 비싼 것은 방치가 아니라, '나중에 해야지'라는 미룸이다.