할리스에서 약 276만건의 고객 개인정보가 유출된 것으로 파악된 가운데, 회사 측은 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적으로 접근하는 해킹 과정에서 정보가 유출된 것으로 추정하고 있다.
할리스는 고객 정보 유출 상세 경위에 대해 "가상화폐 채굴을 위해 클라우드 서비스에 비정상적으로 접근하는 과정에서 일부 고객 정보가 유출된 것으로 파악하고 있다"고 19일 밝혔다.
유출된 데이터는 현재 사용 중인 고객 데이터베이스(DB)가 아니라 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일로 파악됐다.
할리스가 한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만건이다. 중복 회원을 포함해 2009년부터 2020년 2월 11일 이전까지의 누적 고객 데이터로 추정되며, 정확한 규모는 추가 확인 중이다.
현재까지 파악된 유출 시점은 지난 9월 3일부터 10월 7일 사이다. 유출된 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등이다.
할리스는 "즉시 해당 서비스에 대한 비인가 접근 경로를 차단하고 인증 절차와 비정상적인 로그인 시도에 대한 모니터링을 강화하는 등 긴급 대응 조치를 실시했다"며 "상세 경위에 대한 내부 조사를 진행 중"이라고 밝혔다. "관계 기관을 통해 신고 절차를 완료했으며 향후 관계 기관의 조사에도 적극 협조할 예정"이라고도 했다.
할리스는 고객들에게 멤버십 계정과 동일한 계정 정보를 사용하는 다른 서비스의 비밀번호도 변경할 것을 권고했다. 또 2차 피해 방지를 위해 출처가 불분명한 전화나 문자, 이메일에 응답하거나 포함된 링크를 클릭하지 말아 달라고 당부했다.
할리스는 유출된 개인정보로 인한 2차 피해 가능성도 지속적으로 점검하고 개인정보 접근 권한과 인증 체계, 보안 시스템을 전면 점검해 필요한 개선 조치를 시행할 방침이다. 개인정보 유출과 관련된 클라우드 기반 멤버십 서비스도 중단한다.
할리스는 "이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다"며 "고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 했다.
앞서 할리스는 지난 16일 오후 9시 36분 회사 홈페이지를 통해 멤버십 시스템 해킹으로 고객 개인정보가 유출된 것으로 추정된다고 공지했다.
