커피전문점 할리스의 멤버십 시스템이 해킹돼 아이디와 비밀번호, 이름, 전화번호, 주소 등 약 276만 건의 개인정보가 빠져나갔습니다.
비밀번호까지 유출된 사고는 다른 사이트 계정 도용과 스미싱 같은 2차 피해로 번지기 쉽습니다. 내가 대상인지 확인하는 법부터 비밀번호 변경 순서, 스미싱 대처법까지 점검 체크리스트로 정리했습니다.
✅ 이 글은 할리스 공식 공지와 입장문, 금융당국 소비자경보와 개인정보보호위원회 안내, 한국인터넷진흥원(KISA) 보호나라 권고 등 전문 자료 바탕으로 정리했습니다.
🗓️ 2026년 10월 업데이트
커피 한 잔 적립하려고 가입한 멤버십이 몇 년 뒤 보안 사고의 출발점이 될 수 있다는 사실이 다시 확인됐습니다. 이번 사고가 특히 주의가 필요한 이유는 이름이나 전화번호만이 아니라 아이디와 비밀번호가 함께 유출 항목에 들어 있기 때문입니다. 같은 비밀번호를 여러 사이트에서 쓰고 있다면 피해는 할리스 계정에서 끝나지 않을 수 있습니다. 같은 시기에 저축은행 연쇄 해킹과 과태료 사칭 문자까지 겹친 만큼, 개인이 지금 해야 할 일을 순서대로 짚어 보겠습니다.
🎓 보안 사고, 뉴스로만 보지 말고 원리까지 이해하고 싶다면
정보통신기술사 독학 공부방 itpe에서 「AI가 채점하는 기술사 기출」로 보안 실력을 점검해 보세요.
📑 목차
1. 할리스 개인정보 유출, 무엇이 나갔나
할리스는 10월 16일 멤버십 정보를 쓰는 클라우드 서비스에 외부의 인가되지 않은 접근이 있었다는 사실을 확인하고, 같은 날 밤 홈페이지에 사과문을 올렸습니다. 고객 안내 문자는 18일에 발송됐고, 19일 입장문에서는 한국인터넷진흥원(KISA)에 신고한 유출 규모를 약 276만 건이라고 밝혔습니다.
| 구분 | 내용 |
|---|---|
| 유출 대상 | 2020년 2월 11일 이전 할리스 멤버십 가입 고객(2009년부터 누적, 중복 회원 포함) |
| 유출 추정 기간 | 2026년 9월 3일 ~ 10월 7일 |
| 유출 항목 | 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 |
| 원인(회사 설명) | 가상화폐 채굴을 노린 클라우드 비정상 접근 과정에서 과거 멤버십 개편용 임시 데이터 파일이 유출 |
| 회사 조치 | 접근 경로 차단, 인증 절차 강화, 비정상 로그인 모니터링, 관계 기관 신고, 해당 클라우드 기반 멤버십 서비스 중단 예정 |
회사는 현재 쓰는 고객 데이터베이스가 아니라 과거 개편 작업 때 만든 임시 파일에서 정보가 나갔다고 설명했습니다. 다만 비밀번호가 암호화돼 저장됐는지, 실제 피해 인원이 몇 명인지는 아직 공개되지 않았습니다. 개인 입장에서는 비밀번호가 그대로 노출됐다고 가정하고 움직이는 편이 안전합니다.
⚠️ 주의 | 유출 대상은 2020년 2월 이전 가입자입니다. 오래전에 가입하고 잊어버린 계정도 포함되며, 보도에 따르면 이미 탈퇴했다는 회원이 유출 통지 문자를 받았다는 제보도 있었습니다. "요즘은 안 쓰니까 괜찮다"고 넘기지 마세요.
2. 내가 유출 대상인지 확인하는 법
확인 방법은 생각보다 단순합니다. 다만 확인하는 과정에서 또 다른 피싱에 걸리지 않도록 반드시 공식 경로만 이용해야 합니다.
- 안내 문자 확인: 할리스는 18일 대상 고객에게 유출 통지 문자를 보냈습니다. 문자는 참고만 하고, 문자 속 번호나 링크보다 공식 홈페이지 공지를 기준으로 삼으세요.
- 공식 공지 확인: 할리스 홈페이지와 앱 공지사항의 「개인정보 유출 관련 사과 및 안내」와 「후속 안내」에서 대상과 항목을 확인합니다.
- 가입 시기 점검: 2020년 2월 11일 이전에 멤버십에 가입한 기억이 있다면 대상일 가능성이 높습니다. 메일함에서 '할리스'를 검색하면 가입 시기를 짐작할 수 있습니다.
- 직접 문의: 공지에 안내된 고객센터로 내가 먼저 연락합니다. 회사를 사칭해 먼저 전화를 걸어 개인정보를 묻는다면 의심해야 합니다.
💡 꿀팁 | 한국인터넷진흥원(KISA)이 운영하는 「e프라이버시 클린서비스」에서는 본인확인 내역을 바탕으로 내가 가입한 웹사이트를 조회하고, 쓰지 않는 사이트의 탈퇴를 신청할 수 있습니다. 이번 기회에 잊고 있던 계정을 정리해 두면 다음 사고의 피해 범위를 줄일 수 있습니다.
3. 지금 바로 할 일: 비밀번호 변경 우선순위
유출된 아이디·비밀번호 조합으로 다른 사이트에 대량으로 로그인을 시도하는 공격을 크리덴셜 스터핑이라고 합니다. 해커 입장에서는 할리스 계정 자체보다 같은 조합으로 열리는 이메일, 쇼핑몰, 간편결제 계정이 더 값어치가 있습니다. 그래서 할리스 비밀번호만 바꾸는 것으로는 부족합니다.
| 순위 | 대상 | 이유 |
|---|---|---|
| 1 | 할리스 멤버십 | 회사가 즉시 변경을 권고한 계정 |
| 2 | 이메일(네이버·구글·다음 등) | 다른 모든 계정의 비밀번호 재설정 통로 |
| 3 | 은행·증권·카드사·간편결제 | 직접적인 금전 피해로 이어질 수 있는 계정 |
| 4 | 쇼핑몰·배달앱·포인트 적립 앱 | 저장된 결제수단과 포인트가 표적 |
| 5 | SNS·메신저·커뮤니티 | 지인을 사칭하는 메신저 피싱에 악용 가능 |
핵심은 할리스와 같거나 비슷한 비밀번호를 쓰는 곳을 모두 바꾸는 것입니다. 사이트 이름만 바꿔 붙이는 식의 비밀번호도 규칙을 알아채면 쉽게 뚫리므로 같은 비밀번호로 봐야 합니다. 변경한 뒤에는 각 서비스의 '로그인 기록'이나 '접속 기기 관리' 메뉴에서 모르는 기기가 없는지 확인하고, 있다면 바로 로그아웃시키세요.
4. 비밀번호 재사용 끊는 3가지 방법
비밀번호를 한 번 바꾸는 것만으로는 다음 사고 때 같은 일이 반복됩니다. 40~50대 직장인에게 현실적으로 권할 만한 방법은 다음 세 가지입니다.
① 비밀번호 관리자 쓰기
비밀번호 관리자는 사이트마다 다른 긴 비밀번호를 만들어 저장해 주는 도구입니다. 구글 비밀번호 관리자나 애플 암호 앱처럼 휴대폰과 브라우저에 기본으로 들어 있는 기능만 써도 충분히 시작할 수 있습니다. 이런 도구는 유출된 비밀번호를 쓰고 있는지 알려 주는 점검 기능도 제공하니 이번 기회에 한 번 실행해 보세요.
② 2단계 인증 켜기
2단계 인증은 비밀번호가 새더라도 휴대폰 인증이나 인증 앱 코드가 없으면 로그인할 수 없게 만드는 장치입니다. 이메일과 금융 앱, 간편결제부터 켜 두면 크리덴셜 스터핑 피해 대부분을 막을 수 있습니다. 문자 인증보다는 인증 앱이나 기기 인증 방식이 더 안전합니다.
③ 패스키로 바꾸기
패스키는 비밀번호 대신 휴대폰의 지문이나 얼굴 인식으로 로그인하는 방식입니다. 서버에 비밀번호 자체가 저장되지 않아, 이번처럼 회사 서버가 털려도 로그인 수단이 함께 새지 않습니다. 구글, 애플, 마이크로소프트 등 주요 글로벌 서비스와 일부 국내 서비스가 지원하므로 계정 보안 설정에서 '패스키'를 찾아 등록해 두세요.
💡 꿀팁 | 모든 사이트를 하루에 바꾸려 하면 지칩니다. 오늘은 1~3순위(할리스·이메일·금융)만 바꾸고 2단계 인증을 켠 뒤, 나머지는 로그인할 때마다 비밀번호 관리자가 만든 새 비밀번호로 하나씩 교체하는 방식이 오래갑니다.
5. 2차 피해 주의: 요즘 도는 스미싱 유형
이름, 전화번호, 주소, 생년월일이 한꺼번에 유출되면 사기범은 나를 잘 아는 것처럼 접근할 수 있습니다. 최근 은행과 저축은행에서도 해킹 사고가 잇따르자 금융당국은 10월 6일 개인정보 유출을 틈탄 대출 빙자 사기에 소비자경보(주의)를 발령했습니다. 지금 특히 조심해야 할 유형은 다음과 같습니다.
| 유형 | 대표 문구 | 진짜와 구별하는 법 |
|---|---|---|
| 유출 보상금 사칭 | "개인정보 유출 피해보상 신청 안내" | 기업·금융회사·정부는 보상 안내 문자에 링크를 넣지 않음 |
| 대출 빙자 | "유출 피해고객 대상 저금리 특별대출" | 대출 전 선입금, 기존 대출 상환, 앱 설치를 요구하면 사기 |
| 과태료·범칙금 사칭 | "[경찰청] 신호위반 과태료 고지서 확인" | 경찰청 교통민원24 알림 문자에는 외부 링크가 없음 |
| 가상자산 보상 사칭 | "비정상 활동 감지, 자산 보호 필요" | 지갑 복구 문구(시드 구문)를 요구하면 사기 |
| 기관·직원 사칭 전화 | "자산 보호를 위해 안전계좌로 이체" | 금융당국과 금융회사는 자금 이체나 인증번호를 요구하지 않음 |
공통점은 링크 클릭, 앱 설치, 돈 이체 가운데 하나를 요구한다는 것입니다. 할리스도 공지에서 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다고 밝혔습니다. 의심스러운 문자는 카카오톡 '보호나라' 채널의 스미싱·피싱 확인 서비스에 붙여 넣으면 악성 여부를 확인할 수 있습니다.
⚠️ 주의 | 포털 검색 결과 상단이나 광고 자리에 가짜 '유출 조회' 사이트를 노출하는 수법도 확인됐습니다. 유출 여부는 검색 광고가 아니라 해당 기업의 공식 앱이나 홈페이지 공지를 직접 열어 확인하세요.
6. 이미 링크를 눌렀다면 단계별 대응법
문자 속 링크를 누른 것만으로 바로 감염되는 경우는 드물지만, 그 뒤에 앱을 설치했거나 개인정보를 입력했다면 지체 없이 움직여야 합니다. KISA와 경찰이 안내하는 순서는 다음과 같습니다.
- 비행기 모드 전환: 통신을 끊어 악성 앱이 정보를 빼돌리거나 휴대폰을 원격 조종하지 못하게 합니다.
- 악성 앱 삭제: 모바일 백신으로 검사해 삭제하고, 어렵다면 휴대폰 서비스센터를 방문합니다.
- 신고와 지급정지: 돈이 빠져나갔다면 즉시 112나 거래 금융회사 콜센터에 지급정지를 요청합니다. 피해 상담은 경찰청 전기통신금융사기 통합대응단(1394)에서도 받을 수 있습니다.
- 인증서·보안매체 재발급: 감염된 휴대폰으로 금융 앱을 썼다면 공동인증서와 보안카드 등을 폐기하고 다시 발급받습니다.
- 소액결제 확인: 통신사 고객센터에서 결제 내역을 확인하고, 피해가 있으면 소액결제확인서를 받아 경찰에 신고합니다.
- 지인에게 알리기: 악성 앱이 주소록으로 같은 문자를 퍼뜨릴 수 있으니 가족과 지인에게 알리고, 통신사에서 '번호도용문자차단서비스'를 신청합니다.
명의도용 대출이 걱정된다면 은행 앱이나 '내계좌한눈에'(payinfo.or.kr)에서 금융거래 안심차단서비스를 신청하고, 금융감독원 '파인'(fine.fss.or.kr)의 개인정보노출자 사고예방시스템에 등록하는 방법도 있습니다. 개인정보 침해 상담은 개인정보침해 신고센터(118)에서, 피해 구제 상담은 개인정보분쟁조정위원회에서 받을 수 있습니다.
7. 개인정보 유출 대처 점검 체크리스트
- ☑️ 할리스 멤버십 비밀번호를 바꿨거나, 쓰지 않는 계정이면 탈퇴를 신청했다
- ☑️ 같거나 비슷한 비밀번호를 쓰던 이메일·금융·쇼핑 계정의 비밀번호를 모두 바꿨다
- ☑️ 이메일과 금융 앱, 간편결제에 2단계 인증을 켰다
- ☑️ 각 서비스의 로그인 기록에서 모르는 기기를 로그아웃시켰다
- ☑️ 비밀번호 관리자의 유출 점검 기능을 실행해 봤다
- ☑️ 문자 속 링크는 누르지 않고 공식 앱·홈페이지로만 확인하기로 가족과 약속했다
- ☑️ 휴대폰에 신분증 사진이나 계좌 비밀번호 메모를 저장해 두지 않았다
- ☑️ 필요하면 금융거래 안심차단서비스 가입을 검토했다
이번 사고는 '오래된 데이터도 언젠가 새어 나갈 수 있다'는 사실을 보여 줍니다. 기업의 보안을 개인이 통제할 수는 없지만, 비밀번호를 사이트마다 다르게 쓰고 2단계 인증을 켜 두면 유출 사고가 계정 도용으로 번지는 고리는 끊을 수 있습니다. 여러분은 지금 몇 개의 사이트에서 같은 비밀번호를 쓰고 계신가요? 오늘 1~3순위부터 바꿔 보시길 권합니다.
8. 자주 묻는 질문
할리스에서 유출 문자를 받았는데, 비밀번호만 바꾸면 되나요?
할리스 비밀번호 변경은 첫 단계일 뿐입니다. 같은 아이디·비밀번호를 쓰는 다른 서비스, 특히 이메일과 금융·간편결제 계정의 비밀번호도 바꾸고 2단계 인증을 켜 두세요. 이름과 전화번호, 주소도 함께 유출됐으므로 당분간 보상·대출·과태료를 내세운 문자는 특히 의심해야 합니다.
유출 피해 보상금을 준다는 문자가 왔습니다. 진짜일 수도 있나요?
기업과 금융회사, 정부는 보상 안내를 이유로 문자에 링크를 보내거나 앱 설치, 인증번호를 요구하지 않습니다. 보상 관련 소식은 해당 기업의 공식 홈페이지 공지로 직접 확인하고, 의심 문자는 보호나라 카카오톡 채널에서 확인한 뒤 삭제하세요.
비밀번호가 암호화돼 있었다면 안심해도 되나요?
할리스는 비밀번호 암호화 여부를 공개하지 않았습니다. 암호화돼 있더라도 짧고 단순한 비밀번호는 풀릴 수 있으므로, 공개 여부와 상관없이 같은 비밀번호를 쓰던 계정은 모두 바꾸는 것이 안전합니다.
📌 핵심 요약 3줄
1. 할리스 해킹으로 2020년 2월 11일 이전 가입자의 아이디·비밀번호·이름·연락처·주소 등 약 276만 건이 유출됐고, 비밀번호 암호화 여부는 공개되지 않았습니다.
2. 할리스 → 이메일 → 금융·간편결제 순으로 같은 비밀번호를 쓰는 계정을 모두 바꾸고, 2단계 인증과 패스키로 비밀번호 재사용의 고리를 끊으세요.
3. 보상금·대출·과태료를 내세운 문자의 링크는 누르지 말고, 이미 앱을 설치했다면 비행기 모드 → 악성 앱 삭제 → 112·금융회사 지급정지 요청 순으로 대응하세요.
🛡️ IT 보안 자격증 준비
보안 사고가 터질 때마다 '무엇이 왜 뚫렸는지' 설명할 수 있는 사람이 조직에서 인정받습니다. 크리덴셜 스터핑, 클라우드 접근 통제, 개인정보 생명주기 관리는 정보통신기술사 시험에서도 자주 다루는 주제입니다. 「AI가 채점하는 기술사 기출」로 내 답안을 점검해 보세요.
댓글