2026년 할리스 개인정보 유출 사건

2026년 할리스 개인정보 유출 사건은 2026년 9월부터 10월 사이 대한민국의 커피 프랜차이즈 할리스(HOLLYS)의 멤버십 시스템이 외부의 비인가 접근을 받아 고객의 개인정보가 유출된 사건이다. 할리스는 2026년 10월 16일 개인정보 유출 사실을 확인하고 공식 홈페이지에 사과문을 게시했으며, 10월 18일에는 관련 고객들에게 문자메시지를 발송해 사고 사실을 알렸다.

유출된 개인정보에는 고객의 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 기타 서비스 이용정보 등이 포함되었다. 특히 비밀번호와 개인 식별정보, 연락처가 함께 유출되었다는 점에서 계정 탈취와 명의도용, 피싱, 스미싱 등 2차 피해 가능성이 우려되고 있다. 할리스 측은 유출 추정 기간을 2026년 9월 3일부터 10월 7일까지로 밝혔으며, 2020년 2월 11일 이전에 멤버십에 가입한 고객들이 유출 대상에 해당한다고 설명했다.

“

커피는 다 마셨는데 개인정보는 누가 가져갔다.

”

~~커피 한 잔 마시려고 가입했는데 이름, 주소, 생년월일에 비밀번호까지 세트메뉴로 나갔다.~~

개요

2026년 10월 18일, 할리스 멤버십 고객들에게 개인정보 유출 사실을 알리는 문자메시지가 발송되면서 사건이 본격적으로 알려졌다. 할리스는 고객에게 보낸 안내문에서 멤버십 시스템에 외부의 인가되지 않은 접근이 발생했으며, 조사 결과 고객의 개인정보가 유출된 사실을 확인했다고 밝혔다. 비인가 접근이 발생한 것으로 추정되는 기간은 9월 3일부터 10월 7일까지로, 양 끝 날짜를 포함하면 총 35일에 해당한다.

사건이 특히 주목받은 이유는 유출된 정보의 종류에 있다. 일반적인 마케팅 정보나 연락처에 그치지 않고 멤버십 계정의 아이디와 비밀번호, 고객의 이름과 생년월일, 주소와 이메일, 중복가입확인정보(DI) 등이 함께 포함되었기 때문이다. 이러한 정보는 각각 다른 목적으로 수집되지만 외부에서 결합하여 사용될 경우 개인을 식별하거나 사칭하는 데 악용될 가능성이 있다. 특히 다른 온라인 서비스에서도 동일한 비밀번호를 사용하는 이용자는 할리스 계정 밖에서도 위험에 노출될 수 있다.

할리스는 10월 16일 사고를 확인한 뒤 비인가 접근 경로를 차단하고 인증 절차를 강화했으며, 비정상적인 로그인 시도에 대한 모니터링을 확대했다고 밝혔다. 관계 기관에도 사고를 신고하고 조사에 협조하고 있다는 입장을 발표했다. 고객들에게는 멤버십 비밀번호를 즉시 변경하고, 동일한 아이디와 비밀번호를 사용하는 다른 서비스의 비밀번호도 함께 변경할 것을 권고했다.

다만 2026년 10월 19일 기준 정확한 개인정보 유출 인원과 건수, 해킹에 이용된 구체적인 보안 취약점, 비밀번호의 암호화 상태, 실제 2차 피해 발생 여부 등은 공개적으로 확인되지 않았다. 따라서 사고가 발생했다는 사실과 향후 발생할 수 있는 보안 위험은 구분할 필요가 있다.

사건 정보

2026년 할리스 개인정보 유출 사건
발생 기업	할리스(HOLLYS)
운영 법인	KG F&B(케이지에프앤비)
사고 유형	해킹, 개인정보 유출
피해 시스템	할리스 멤버십 시스템
유출 추정 기간	2026년 9월 3일 ~ 10월 7일
유출 사실 확인	2026년 10월 16일
공식 홈페이지 공지	2026년 10월 16일
고객 문자 통지	2026년 10월 18일
유출 대상	2020년 2월 11일 이전 할리스 멤버십 가입 고객
유출 정보	아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 기타 서비스 이용정보
피해 규모	미공개
공격 주체	미상
공격 방법	외부의 비인가 접근으로 설명되었으며 구체적인 수법은 미공개
대응	비인가 접근 경로 차단, 인증 절차 강화, 로그인 모니터링 강화, 관계 기관 신고 및 조사 협조
공식 안내	개인정보 유출 관련 사과 및 안내

배경

할리스의 멤버십 서비스

할리스는 대한민국의 커피 전문점 프랜차이즈로, 오프라인 매장뿐 아니라 공식 홈페이지와 모바일 애플리케이션을 통해 멤버십 및 각종 고객 서비스를 운영하고 있다. 멤버십 회원에게는 구매 실적에 따른 혜택과 쿠폰, 모바일 주문, 할리스카드 등 여러 서비스를 제공하고 있으며, 이를 위해 회원의 계정과 개인정보를 관리하고 있다.

이러한 멤버십 시스템은 고객의 구매 편의성과 충성도를 높이기 위한 수단으로 활용된다. 고객은 회원으로 가입함으로써 할인과 적립 등의 혜택을 받을 수 있고, 기업은 회원을 식별하고 서비스 이용 내역을 관리할 수 있다. 하지만 회원제 서비스를 장기간 운영하면 기업이 보유하는 개인정보도 계속 축적되므로, 가입부터 보관과 이용, 파기에 이르는 전 과정에서 적절한 보호조치가 필요하다.

특히 멤버십 시스템에는 온라인 계정에 접근하기 위한 인증정보와 고객의 이름, 연락처 등 다양한 자료가 저장될 수 있다. 따라서 공격자가 시스템에 무단으로 접근하는 데 성공할 경우 단순한 서비스 장애를 넘어 고객의 개인정보 유출로 이어질 위험이 존재한다.

장기 가입자 정보 관리 문제

이번 사고에서 주목할 만한 부분은 할리스가 유출 대상을 2020년 2월 11일 이전에 멤버십에 가입한 고객으로 특정했다는 점이다. 이는 2026년 사고 발생 시점에서 적어도 6년 이상 지난 시기에 가입한 고객들이 관련되어 있다는 의미다.

오래전에 가입한 고객은 현재 서비스를 자주 이용하지 않을 수 있으며, 당시 사용한 비밀번호를 그대로 유지하거나 계정 자체를 잊고 있을 가능성도 있다. 특히 여러 인터넷 서비스에서 동일한 비밀번호를 사용한 경우 오래된 계정 하나의 정보 유출이 다른 서비스의 보안에도 영향을 줄 수 있다.

다만 할리스가 2020년 2월 11일을 기준으로 유출 대상을 구분한 구체적인 기술적 이유는 공개되지 않았다. 당시 멤버십 시스템의 구조나 데이터 이전, 보관 방식에 변화가 있었는지 등은 별도의 확인이 필요한 부분이다. 또한 해당 날짜 이전에 가입한 모든 고객의 개인정보가 동일하게 유출되었다고 단정해서도 안 된다.

사건 경과

2026년 9월 3일~10월 7일: 개인정보 유출 추정 기간

할리스는 공식 안내문에서 2026년 9월 3일부터 10월 7일 사이 외부의 인가되지 않은 접근으로 고객 개인정보가 유출된 것으로 추정한다고 밝혔다. 이는 외부의 공격자가 정상적인 권한 없이 멤버십 시스템에 접근했으며, 그 과정에서 고객 정보가 유출되었다는 의미다.

두 날짜를 포함하면 총 35일에 이르는 기간이지만, 이 기간 내내 공격자가 중단 없이 시스템에 접속해 있었다는 사실까지 확인된 것은 아니다. 해당 기간에 한 차례 이상의 비인가 접근과 정보 유출이 발생한 것으로 추정된다는 것이 공개된 설명의 범위다. 최초 침입 시각이나 공격 횟수, 구체적인 접근 경로, 외부로 전송된 데이터의 양 등도 알려지지 않았다.

일반적으로 개인정보 유출 사고에서는 공격자가 최초로 시스템에 침입한 시점과 실제 정보를 열람하거나 복사한 시점이 다를 수 있다. 따라서 비인가 접근이 가능했던 기간과 실제 개인정보가 유출된 기간은 조사 결과에 따라 구분될 필요가 있다.

이번 사고 역시 세부적인 침입 기록과 유출 경로에 대한 조사 결과가 공개되어야 실제 공격의 지속 기간과 범위를 더욱 정확하게 파악할 수 있다.

10월 16일: 유출 사실 확인 및 사과문 게시

2026년 10월 16일 할리스는 멤버십 시스템에 대한 비인가 접근으로 개인정보가 유출되었다는 사실을 확인했다고 밝혔다. 같은 날 회사 공식 홈페이지의 공지사항에 「개인정보 유출 관련 사과 및 안내」라는 제목의 게시물이 등록되었다.

해당 공지에는 유출이 발생한 것으로 추정되는 기간과 유출된 개인정보의 항목, 유출 대상 고객, 회사의 조치 사항, 고객들이 취해야 할 대응 방법 등이 포함되었다. 할리스는 고객들에게 사과하면서 개인정보 보호와 피해 최소화를 위해 노력하겠다는 입장을 발표했다.

사과문에 따르면 회사는 비인가 접근 경로를 차단하고 인증 절차를 강화했으며, 비정상 로그인 시도에 대한 모니터링을 확대했다. 또한 관계 기관에 신고하고 조사에 협조하고 있다고 설명했다.

다만 어떤 보안 취약점이 이용되었고 이를 언제 어떻게 수정했는지, 해당 취약점이 이전부터 얼마나 오랫동안 존재했는지 등은 구체적으로 공개되지 않았다.

10월 18일: 고객 대상 문자 통지

2026년 10월 18일 할리스는 관련 멤버십 고객들에게 개인정보 유출 사실을 알리는 문자메시지를 발송했다. 문자에는 사고 확인일과 유출 추정 기간, 유출 정보 항목 및 대응 방안이 기재되어 있었다.

이 안내를 받은 고객들이 온라인 커뮤니티와 SNS 등에 문자 내용을 공유하면서 사고가 일반 대중에게도 알려지기 시작했다. 이후 언론에서 할리스의 멤버십 시스템 해킹과 개인정보 유출 사실을 보도하면서 사건이 확산되었다.

특히 일부 고객들은 오랫동안 사용하지 않은 멤버십 계정에서 개인정보가 유출되었다는 점에 주목했다. 과거 가입한 서비스의 계정과 비밀번호를 기억하지 못하는 경우도 있을 수 있으므로, 실제 피해 여부를 확인하고 비밀번호를 변경하는 데 어려움을 겪는 이용자도 발생할 가능성이 제기되었다.

할리스는 고객들에게 같은 아이디와 비밀번호를 사용하는 다른 서비스의 계정도 점검해 달라고 당부했다. 이는 유출된 로그인 정보가 할리스 외부의 다른 서비스에도 악용될 수 있다는 보안 위험을 고려한 조치다.

10월 19일: 언론 보도와 서비스 접속 문제

2026년 10월 19일에는 여러 언론을 통해 할리스 개인정보 유출 사고의 내용이 전해졌다. 보도에서는 비밀번호를 포함한 다양한 개인정보가 유출되었다는 점과 함께, 실제 피해 인원 및 규모가 아직 공개되지 않았다는 사실이 주요 쟁점으로 소개되었다.

일부 보도에서는 할리스 홈페이지에 접속이 원활하지 않았다는 내용도 전해졌다. 다만 할리스는 앞서 10월 7일 별도의 공지에서 10월 19일 오전 0시부터 6시까지 서버 이전 작업을 실시하고, 이 기간 공식 홈페이지와 애플리케이션의 전체 서비스를 일시 중단할 예정이라고 안내한 바 있다.

해당 서비스 중단 안내는 개인정보 유출 사실이 공식적으로 확인되기 전에 게시되었다. 따라서 10월 19일의 서비스 중단이나 접속 장애가 모두 해킹의 직접적인 결과였다고 단정할 수는 없다. 예정된 서버 이전 작업과 개인정보 유출 사고 사이에 직접적인 연관성이 있었는지도 별도로 확인되지 않았다.

유출된 개인정보

전체 유출 항목

할리스가 공개한 개인정보 유출 항목은 다음과 같다.

유출 항목	정보의 성격	악용 가능성
아이디	멤버십 계정 식별정보	다른 사이트에 동일한 계정명이 사용되는 경우 로그인 공격 등에 악용될 가능성
비밀번호	계정 인증정보	계정 탈취 및 비밀번호 재사용에 따른 다른 서비스의 침해 위험
이름	개인 식별정보	다른 개인정보와 결합한 사칭 및 맞춤형 피싱
생년월일	개인 식별에 활용되는 정보	신원 확인을 가장한 사기 및 개인정보 조합
전화번호	연락처	보이스피싱, 스미싱, 사칭 전화 및 문자
주소	거주지 등 주소정보	특정 개인에 대한 사칭 및 사회공학적 공격
이메일	온라인 연락처	피싱 메일, 스팸, 계정 공격
중복가입확인정보(DI)	본인확인 과정에서 활용되는 식별정보	다른 정보와 결합한 식별 및 정보 연계 위험
기타 서비스 이용정보	구체적인 세부 항목 미공개	실제 포함된 정보에 따라 위험성이 달라짐

위 표의 악용 가능성은 각 개인정보의 일반적인 보안 위험을 설명한 것이다. 해당 정보가 이번 사건에서 실제로 범죄에 사용되었다는 사실을 의미하지 않는다.

아이디와 비밀번호

이번 사건에서 특히 중요한 부분은 아이디뿐 아니라 비밀번호도 유출 항목에 포함되었다는 점이다. 일반적으로 인터넷 서비스에 로그인하기 위해서는 계정의 아이디와 비밀번호가 필요하므로, 이러한 정보가 함께 노출되면 제3자가 계정에 무단으로 접근하려 할 위험이 발생한다.

특히 여러 사이트에서 동일한 아이디와 비밀번호를 사용하는 경우 문제가 더욱 커질 수 있다. 공격자는 특정 사이트에서 확보한 로그인 정보를 다른 웹사이트에도 입력해 계정 접근을 시도할 수 있는데, 이러한 공격을 크리덴셜 스터핑(Credential Stuffing)이라고 한다.

예를 들어 이용자가 할리스와 온라인 쇼핑몰, 이메일 서비스에서 동일한 비밀번호를 사용하고 있었다면, 할리스에서 유출된 계정 정보가 다른 서비스에 대한 공격에 이용될 가능성이 있다. 실제 침입 성공 여부는 각 서비스의 보안 수준과 추가 인증 체계 등에 따라 달라지지만, 동일한 비밀번호를 재사용하는 것 자체가 위험을 높인다.

다만 이번 사건에서 비밀번호가 평문으로 유출되었는지, 암호학적 해시값 등의 형태로 저장되어 있었는지는 확인되지 않았다. 할리스는 유출 항목에 비밀번호를 기재했지만 구체적인 저장 방식은 공개하지 않았다. 따라서 비밀번호가 암호화되지 않은 채 보관되었다고 단정할 수는 없다.

일반적으로 비밀번호는 복원이 어려운 일방향 해시 방식 등으로 보호해야 하며, 적절한 방식으로 보호된 비밀번호는 평문으로 노출된 비밀번호에 비해 공격자가 원래 값을 알아내기 어렵다. 그러나 보호 방식이 취약하거나 비밀번호 자체가 단순한 경우에는 위험이 남아 있으므로, 저장 방식과 관계없이 이용자가 비밀번호를 변경하는 것이 권장된다.

이름과 생년월일, 연락처

이름과 생년월일, 전화번호, 주소, 이메일 등이 함께 유출되었다는 점도 문제가 된다. 이러한 정보는 개별적으로는 비밀번호처럼 직접적인 로그인 수단이 아닐 수 있지만, 여러 항목을 결합하면 특정 개인을 식별하거나 신뢰할 만한 연락인 것처럼 위장하는 데 사용될 가능성이 있다.

예를 들어 공격자가 특정 고객의 이름과 전화번호, 주소를 알고 있다면 해당 고객에게 실제 기업 관계자인 것처럼 연락하거나, 배송 문제 및 회원정보 확인을 명목으로 추가적인 개인정보를 요구할 수 있다. 생년월일과 이메일까지 알고 있는 경우에는 피해자에게 맞춘 메시지를 작성하기도 쉬워질 수 있다.

이러한 사기 방식은 기술적인 시스템 침입과 달리 사람의 신뢰나 부주의를 악용한다는 점에서 사회공학 공격으로 분류된다. 실제로 유출된 정보가 곧바로 금전 피해를 발생시키는 것은 아니지만, 이후 범죄자가 더욱 설득력 있는 사칭 메시지를 작성하는 데 이용할 수 있다는 점에서 주의가 필요하다.

특히 연락처는 비밀번호와 달리 쉽게 바꾸기 어렵고, 주소와 생년월일 등의 정보는 한 번 노출되면 장기간 유효할 수 있다. 따라서 단순히 할리스 계정의 비밀번호를 변경하는 것만으로 모든 잠재적인 위험이 사라지는 것은 아니다.

중복가입확인정보(DI)

유출 항목 가운데 일반 고객들에게 익숙하지 않은 정보가 중복가입확인정보(DI, Duplication Information)이다. DI는 본인확인 과정에서 이용자 식별과 중복가입 확인 등에 활용되는 정보로, 본인확인 서비스 및 관련 시스템에서 동일인을 구별하는 데 사용될 수 있다.

DI는 이름이나 전화번호처럼 사람이 직접 입력하는 일반적인 연락처가 아니며, 본인확인 체계에서 생성·활용되는 식별값에 해당한다. 이러한 정보는 서비스 운영자가 이용자를 식별하고 중복 여부 등을 확인하는 데 이용할 수 있으므로 적절한 관리가 필요하다.

DI가 유출되었다고 해서 공격자가 그것만으로 모든 사이트에 로그인하거나 본인인증을 통과할 수 있는 것은 아니다. 또한 DI 자체가 주민등록번호와 동일한 정보인 것도 아니다. 다만 다른 개인정보와 결합하여 이용자를 식별하거나 정보를 연결하는 데 악용될 가능성이 있다는 점에서 보호가 요구된다.

이번 사건에서 DI가 어떤 형태로 저장되어 있었고 외부에 어느 정도의 정보가 유출되었는지, 실제로 다른 정보와 결합할 수 있는 상황이었는지는 구체적으로 확인되지 않았다.

기타 서비스 이용정보

할리스는 공식 안내문에서 아이디와 비밀번호 등을 열거한 뒤 '이외 서비스 이용과 관련한 정보'도 유출 항목에 포함된다고 밝혔다. 그러나 해당 표현에 포함되는 구체적인 정보의 종류와 범위는 상세하게 설명하지 않았다.

일반적으로 서비스 이용정보에는 가입 및 이용 내역, 계정 관리 기록, 서비스 이용과 관련된 각종 정보가 포함될 수 있다. 그러나 이번 사건에서 어떤 항목이 실제로 유출되었는지는 확인되지 않았으므로 이를 임의로 확대해서 해석해서는 안 된다.

특히 신용카드번호나 계좌번호, 결제 비밀번호 등의 금융정보가 유출되었다는 사실은 공식적으로 확인되지 않았다. 그렇다고 이러한 정보가 유출되지 않았다는 사실까지 확정적으로 발표된 것은 아니므로, 확인되지 않은 항목에 대해서는 조사 결과를 기다릴 필요가 있다.

할리스의 대응

비인가 접근 경로 차단

할리스는 개인정보 유출 사실을 확인한 뒤 외부의 비인가 접근 경로를 차단했다고 밝혔다. 이는 공격자가 사용한 것으로 파악된 접근 수단이나 경로를 더 이상 이용할 수 없도록 제한하여 추가 침입을 방지하기 위한 조치다.

또한 멤버십 시스템의 인증 절차를 강화했다고 설명했다. 인증 절차 강화에는 일반적으로 사용자 또는 시스템 접근에 대한 확인을 강화하는 조치들이 포함될 수 있지만, 이번 사건에서 구체적으로 어떤 기술적 조치가 적용되었는지는 공개되지 않았다.

따라서 특정 보안 장비를 새로 설치했다거나 모든 로그인에 다중 인증을 의무화했다고 단정할 근거는 없다.

비정상 로그인 모니터링 강화

회사는 비정상적인 로그인 시도에 대한 모니터링도 강화했다고 밝혔다. 로그인 기록을 분석하고 평소와 다른 접근 시도를 탐지하는 것은 계정 탈취와 무단 접근을 방지하는 데 중요한 보안 활동이다.

특히 비밀번호가 유출된 경우 공격자가 기존 계정으로 로그인을 시도할 가능성이 있기 때문에 인증정보의 변경과 비정상 접근 탐지가 중요하다. 다만 할리스가 구체적으로 어떤 기준을 사용하여 비정상 로그인을 감지하고 있는지, 추가적인 차단 정책을 어떻게 적용하고 있는지는 확인되지 않았다.

또한 이러한 조치가 이루어졌다는 발표만으로 모든 보안 문제가 완전히 해결되었다고 판단하기는 어렵다. 실제 보안체계가 적절하게 작동하는지는 사고 원인 분석과 취약점 개선 여부, 재발 방지 체계 등을 종합적으로 검토해야 한다.

관계 기관 신고 및 조사 협조

할리스는 관계 기관에 개인정보 유출 사실을 신고하고 관련 조사에 협조하고 있다고 밝혔다. 대한민국에서 개인정보 유출 사고가 발생한 경우에는 관련 법령에 따라 유출 통지와 신고, 피해 최소화, 조사 협조 등의 의무가 문제 될 수 있다.

특히 이번 사건에서는 개인정보가 실제로 어떤 경로로 유출되었는지, 기업이 적절한 안전조치를 시행했는지, 이상 접근을 탐지하고 대응하는 체계가 정상적으로 작동했는지 등이 조사 대상이 될 수 있다.

그러나 2026년 10월 19일 기준 관계 기관의 최종 조사 결과나 할리스에 대한 행정처분, 과징금 부과 등이 확정되었다는 사실은 확인되지 않았다.

이용자 피해 및 2차 피해 우려

다른 사이트의 계정 탈취 가능성

할리스 멤버십 비밀번호가 유출 항목에 포함되면서 가장 먼저 우려되는 문제는 다른 사이트의 계정에 대한 공격이다. 많은 인터넷 이용자들은 여러 웹사이트에서 비슷하거나 동일한 비밀번호를 사용하는데, 이러한 습관은 특정 서비스에서 정보가 유출되었을 때 피해가 확대되는 요인으로 작용한다.

공격자가 유출된 계정 정보를 확보하고 실제 사용 가능한 비밀번호까지 알아낸다면 다른 서비스에서도 로그인을 시도할 수 있다. 특히 이메일이나 쇼핑몰 계정이 침해될 경우 추가적인 개인정보가 노출되거나 다른 서비스의 계정 복구 기능이 악용될 가능성도 있다.

다만 이번 할리스 사건에서 실제로 다른 사이트의 계정 탈취가 발생했다는 사실은 별도로 확인되지 않았다. 이러한 위험은 유출 항목의 특성을 고려하여 예상할 수 있는 가능성이며, 이미 피해가 발생했다고 단정하는 것은 아니다.

피싱과 스미싱

이름과 전화번호, 이메일, 주소 등이 유출된 경우에는 기업이나 기관을 사칭한 피싱과 스미싱의 위험이 발생할 수 있다. 특히 실제 개인정보 유출 사고가 발생한 직후에는 이를 악용하여 보안 점검이나 피해 보상을 안내하는 것처럼 위장한 메시지가 전송될 가능성이 있다.

예를 들어 공격자가 할리스의 고객센터를 사칭하면서 유출 여부를 확인해야 한다고 안내하거나, 비밀번호 변경 및 보상을 명목으로 가짜 웹사이트에 접속하도록 유도할 수 있다. 이러한 사이트에 계정 정보를 입력하면 기존 유출 사고와 별도로 새로운 개인정보 침해가 발생할 수 있다.

할리스는 이러한 위험을 고려해 공식 안내문에서 문자메시지로 링크를 보내거나 비밀번호와 금융·결제정보를 요구하지 않는다고 명시했다. 따라서 할리스의 이름을 사용한 메시지라고 하더라도 링크 접속이나 개인정보 입력을 요구하는 경우에는 공식 홈페이지 또는 고객센터를 통해 진위를 확인할 필요가 있다.

명의도용 및 개인정보 결합 위험

유출된 이름과 생년월일, 연락처, 주소 등의 정보가 다른 경로에서 확보된 개인정보와 결합하면 특정 개인에 대한 식별 가능성이 높아질 수 있다. 특히 공격자가 여러 출처에서 수집한 정보를 연결하여 개인의 신원이나 생활 관련 정보를 추정하는 방식은 개인정보 유출 사고에서 주의해야 할 문제다.

그러나 개인정보가 유출되었다는 사실만으로 명의도용이 실제로 발생하거나 신용카드 발급 등의 금융거래가 자동으로 이루어지는 것은 아니다. 이러한 행위에는 서비스별 본인확인이나 별도의 인증 절차가 필요할 수 있다.

따라서 이번 사건을 계기로 명의도용 가능성에 대한 주의는 필요하지만, 유출된 정보만으로 모든 금융서비스에서 즉시 피해가 발생할 수 있는 것처럼 과장해서는 안 된다.

논란 및 쟁점

약 35일에 걸친 유출 추정 기간

이번 사건에서 주목받는 부분 중 하나는 2026년 9월 3일부터 10월 7일까지라는 유출 추정 기간이다. 회사가 발표한 날짜를 기준으로 하면 최초 유출 추정일로부터 유출 사실 확인일까지는 43일의 날짜 차이가 존재한다.

이처럼 최초 침입이 발생한 것으로 추정되는 날짜와 실제 유출 사실을 확인한 날짜 사이에 상당한 간격이 있다는 점에서, 당시 보안 모니터링과 이상징후 탐지 체계가 어떻게 작동했는지 살펴볼 필요가 있다.

물론 공격자가 정상적인 이용 행위처럼 위장하거나 시스템의 취약점을 악용할 경우, 기업이 침입 사실을 즉시 파악하지 못할 수도 있다. 사고가 뒤늦게 확인되었다는 이유만으로 회사가 의도적으로 유출 사실을 숨겼다고 단정할 수는 없다.

그러나 사고의 원인을 파악하고 재발을 방지하기 위해서는 침입이 언제 시작되었는지, 어떤 이상징후가 존재했는지, 기업이 이를 언제 감지했으며 적절하게 대응했는지 등을 조사할 필요가 있다.

비밀번호 보관 방식의 불확실성

비밀번호가 유출 항목에 포함되어 있다는 사실에도 불구하고, 해당 비밀번호가 어떤 형태로 저장되어 있었는지는 공개되지 않았다. 이 문제는 유출된 정보의 실제 악용 가능성과 밀접하게 관련되어 있다.

일반적으로 비밀번호는 평문으로 보관하기보다는 적절한 암호학적 해시 알고리즘과 솔트 등을 사용하여 안전하게 보호해야 한다. 이러한 조치가 적절하게 적용되어 있다면 데이터가 외부에 유출되더라도 공격자가 원래 비밀번호를 알아내는 것이 어려워질 수 있다.

반면 비밀번호가 평문으로 저장되어 있거나 취약한 방식으로 보호되었다면 공격자가 해당 정보를 악용할 위험이 커질 수 있다. 이번 사건에서 어떠한 방식이 사용되었는지는 확인되지 않았으므로, 해당 사실이 밝혀지기 전까지는 기술적 관리의 적절성을 확정적으로 평가하기 어렵다.

따라서 회사가 향후 조사 결과를 공개할 경우 비밀번호의 저장 및 보호 방식은 중요한 확인 사항 가운데 하나가 될 수 있다.

오래된 고객정보의 보관과 유출

이번 사건에서는 2020년 2월 11일 이전 가입자들이 유출 대상으로 명시되면서 오래된 멤버십 고객정보의 관리 문제가 주목받았다. 오래전에 가입한 회원의 정보가 계속 보관되는 것은 서비스 운영 과정에서 발생할 수 있지만, 개인정보는 수집 목적과 보유 기간, 이용 상태 및 관련 법령에 따라 적절하게 관리되어야 한다.

특히 개인정보를 장기간 보관하는 기업에서는 해당 정보가 현재 서비스 제공에 필요한지, 불필요한 정보는 적절히 파기하고 있는지, 장기간 사용되지 않은 계정에 대해서도 충분한 보안조치를 적용하고 있는지 등을 점검할 필요가 있다.

다만 2020년 이전에 가입한 회원의 정보가 존재한다는 사실만으로 불법적인 장기 보관이나 개인정보 보호법 위반이 성립하는 것은 아니다. 실제 위반 여부는 가입 약관과 개인정보 처리방침, 보유 목적, 이용 이력, 관련 법령 및 당시의 구체적인 관리 상황 등을 확인해야 판단할 수 있다.

유출 규모의 미공개

2026년 10월 19일 기준 이번 사고의 정확한 피해 고객 수와 유출 정보의 건수는 공개되지 않았다. 대상이 2020년 2월 11일 이전 멤버십 가입자로 특정되어 있기는 하지만, 해당 기간의 전체 가입자 수가 곧 실제 유출 피해자 수를 의미하는 것은 아니다.

개인정보 유출 사고의 규모를 파악하기 위해서는 실제로 공격자의 접근을 받은 계정의 수와 외부로 유출된 데이터의 범위, 중복 여부 등을 확인해야 한다. 단순히 기업의 누적 회원 수를 기준으로 피해 규모를 추산하면 실제보다 많거나 적은 숫자가 나올 수 있다.

따라서 구체적인 수치가 발표되기 전까지 이번 사건을 특정한 규모의 대량 유출 사고로 단정하거나, 다른 기업의 개인정보 유출 사건과 피해 인원만으로 비교하는 것은 적절하지 않다.

법적 쟁점

개인정보 보호법에 따른 의무

대한민국의 개인정보 보호법은 개인정보처리자에게 개인정보의 안전한 관리와 보호를 위한 의무를 부과한다. 개인정보처리자는 개인정보의 분실·도난·유출 등을 방지하기 위한 기술적·관리적·물리적 안전조치를 시행해야 하며, 유출 사고가 발생한 경우에는 법령에서 정한 기준에 따라 정보주체에게 통지하고 관계 기관에 신고하는 등의 조치를 해야 한다.

이번 사고에서 검토할 수 있는 주요 사항은 할리스가 개인정보를 적절하게 보호했는지, 접근통제와 인증, 접속기록 관리 등의 보안조치가 충분했는지, 사고를 확인한 뒤 필요한 통지와 신고를 적절하게 실시했는지 등이다.

또한 개인정보 보호를 위한 기술적 조치가 충분했는지는 단순히 유출 사고가 발생했다는 결과뿐 아니라 당시 적용된 보안 기술과 내부 관리체계, 구체적인 침입 경위 등을 함께 고려하여 판단해야 한다.

2026년 10월 19일 기준 할리스의 법률 위반 여부나 구체적인 책임이 확정되었다는 사실은 확인되지 않았다.

피해 보상과 손해배상

개인정보 유출로 피해가 발생한 이용자는 관련 법령과 구체적인 사정에 따라 손해배상이나 분쟁조정 등의 구제 절차를 검토할 수 있다. 그러나 개인정보가 유출되었다는 사실만으로 모든 이용자에게 동일한 금액의 보상이 자동으로 지급되는 것은 아니다.

손해배상 여부와 범위는 관련 법률의 요건 및 책임 성립 여부, 사고의 경위, 실제 발생한 손해 등을 종합적으로 고려하여 결정될 수 있다. 기업이 개인정보를 적절히 관리했는지와 사고 이후 피해 확산 방지를 위한 조치를 시행했는지도 관련 쟁점이 될 수 있다.

할리스는 공식 사과문에서 개인정보 보호와 피해 최소화를 위해 노력하겠다고 밝혔지만, 2026년 10월 19일 기준 모든 피해 회원에 대한 일괄적인 금전 보상이나 구체적인 배상 기준이 발표되었다는 사실은 확인되지 않았다.

피해를 입었다고 판단하는 고객은 할리스 고객센터와 개인정보침해신고센터 등을 통해 상담받을 수 있으며, 개인정보분쟁조정위원회의 분쟁조정 절차를 이용하는 방법도 있다.

고객 대응 방법

비밀번호 변경

할리스가 공식적으로 권고한 가장 중요한 대응 방법은 멤버십 계정의 비밀번호를 즉시 변경하는 것이다. 기존 비밀번호와 충분히 다른 새로운 비밀번호를 설정하고, 다른 사이트에서 사용하지 않은 고유한 비밀번호를 사용하는 것이 권장된다.

특히 할리스와 동일한 비밀번호를 사용하는 이메일과 온라인 쇼핑몰, 금융 관련 서비스 등이 있다면 해당 계정도 점검할 필요가 있다. 비밀번호가 여러 사이트에서 재사용되었다면 한 곳의 계정정보 유출이 다른 서비스의 계정 보안에도 영향을 줄 수 있기 때문이다.

추가로 서비스에서 다중 인증이나 2단계 인증을 제공하는 경우 이를 활용하면 비밀번호가 노출되더라도 공격자가 계정에 접근하는 것을 더욱 어렵게 만들 수 있다. 다만 모든 서비스가 동일한 인증 방식을 지원하는 것은 아니다.

피싱 및 스미싱 주의

할리스는 출처가 불분명한 전화와 문자, 이메일 등에 응답하거나 첨부된 링크를 누르지 말 것을 권고했다. 개인정보 유출 사고가 발생하면 이를 이용해 추가적인 개인정보를 요구하는 사칭 메시지가 발송될 가능성이 있기 때문이다.

특히 할리스가 안내문에서 문자메시지로 링크를 보내거나 비밀번호, 금융·결제정보를 요구하지 않는다고 명시했다는 점에 주의할 필요가 있다. 따라서 할리스의 이름을 사용한 메시지에서 비밀번호나 결제정보를 입력하라고 요청한다면 해당 메시지를 그대로 신뢰하지 말고 공식 홈페이지나 고객센터를 통해 확인하는 것이 안전하다.

공식 문의 및 피해 구제

할리스가 공식 사과문에서 안내한 주요 문의처와 상담 기관은 다음과 같다.

구분	연락처	주요 내용
할리스 고객센터	02-2188-7100	유출 관련 문의 및 피해 접수 평일 09:00~18:00
개인정보침해신고센터	국번 없이 118	개인정보 침해 상담 및 신고
개인정보분쟁조정위원회	1833-6972	개인정보 분쟁 및 피해 구제 상담

피해 여부를 확인하거나 계정 정보를 변경하려는 고객은 할리스 공식 홈페이지 또는 공식 애플리케이션을 직접 이용하는 것이 권장된다. 또한 개인정보 유출과 관련해 실제 피해가 발생했다면 관련 문자와 이메일, 거래 내역 등 증빙자료를 보관하는 것이 도움이 될 수 있다.

평가 및 의의

이번 사건은 일반적인 커피 프랜차이즈의 멤버십 시스템도 해킹과 개인정보 유출 사고의 대상이 될 수 있다는 사실을 보여준다. 온라인 서비스와 모바일 애플리케이션을 운영하는 기업이라면 업종에 관계없이 회원의 개인정보를 수집하고 보관하기 때문에 정보보안 문제가 발생할 수 있다.

특히 유출 항목에 비밀번호가 포함되어 있고, 고객의 이름과 생년월일, 전화번호, 주소 및 중복가입확인정보 등이 함께 포함되어 있다는 점에서 단순한 마케팅 정보의 유출보다 복합적인 보안 위험이 제기된다. 실제 2차 피해가 발생했는지는 별도로 확인해야 하지만, 이러한 정보의 조합은 계정 탈취나 사칭 등의 시도에 활용될 가능성이 있다.

또한 오래전에 가입한 고객의 정보가 유출 대상에 포함되었다는 점은 회원정보의 장기적인 보관과 관리 문제를 생각하게 한다. 기업은 고객이 현재 서비스를 활발하게 이용하는지 여부와 관계없이 보유하고 있는 개인정보를 적절하게 관리해야 하며, 필요하지 않은 개인정보의 보유와 파기에 관해서도 법령과 처리방침에 따른 체계를 갖추어야 한다.

이번 사건에서는 사고의 원인과 구체적인 피해 규모, 비밀번호의 보호 상태 등이 아직 확인되지 않은 만큼, 최종적인 보안 관리 책임과 사고의 심각성을 평가하기 위해서는 추가적인 조사 결과가 필요하다. 특히 유출 정보의 정확한 범위와 계정정보의 악용 가능성, 회사의 보안조치 이행 여부 등은 향후 중요한 쟁점이 될 수 있다.

여담

• 사고의 유출 추정 기간은 2026년 9월 3일부터 10월 7일까지 총 35일에 해당한다. 다만 해당 기간 내내 해커가 계속 접속해 있었다는 사실은 확인되지 않았다.
• 유출 대상이 2020년 2월 11일 이전 가입자로 특정되어 있다. 따라서 2026년 기준으로 적어도 6년 이상 전에 가입한 고객들이 포함되는 셈이다. 정확히 왜 이 날짜가 기준이 되었는지는 공개되지 않았다.
• 일부 고객들에게는 개인정보 유출 안내 문자가 2026년 10월 18일 발송되었다. 회사의 공식 공지는 이보다 이틀 앞선 10월 16일에 등록되었다.
• 유출 항목에는 단순한 연락처뿐 아니라 아이디와 비밀번호까지 포함되었다. ~~멤버십은 가입할 때 한 번 입력하면 잊어버리기 쉬운데, 정작 개인정보는 잊히지 않고 남아 있었다.~~
• 중복가입확인정보(DI)라는 생소한 항목도 포함되어 있다. DI는 본인확인 체계에서 활용되는 식별정보이며, 유출되었다고 해서 그것만으로 다른 사이트에 로그인할 수 있다는 의미는 아니다.
• 할리스는 공식 안내문에서 문자로 링크를 보내거나 비밀번호, 금융·결제정보를 요구하지 않는다고 명시했다. 따라서 사고를 이용한 사칭 메시지가 등장할 경우 주의할 필요가 있다.
• 10월 19일에는 할리스 공식 홈페이지와 애플리케이션의 서버 이전 작업이 예정되어 있었다. 해당 작업은 10월 7일에 미리 공지되었으므로 개인정보 유출 사고 이후 갑자기 발표된 긴급 서버 중단이라고 단정할 수 없다.
• 2026년 10월 19일 기준 정확한 피해 인원과 해킹에 이용된 구체적인 취약점, 유출된 비밀번호의 암호화 상태는 공개되지 않았다. 따라서 현재 알려진 유출 항목만으로 사고의 최종적인 규모를 확정하기는 어렵다.
• ~~커피는 몇천 원짜리인데 개인정보는 값을 매기기도 어렵다. 문제는 환불한다고 개인정보까지 다시 돌아오는 게 아니라는 것.~~

관련 문서

• 할리스
• KG그룹
• 개인정보
• 개인정보 유출
• 해킹
• 개인정보 보호법
• 한국인터넷진흥원
• 개인정보보호위원회
• 크리덴셜 스터핑
• 피싱
• 스미싱
• 명의도용
• 사회공학
• 정보보안
• 사이버 범죄