오늘(18일) 오후, 휴대폰으로 “개인정보 유출 통지”라는 문자를 받으신 분들이 꽤 있을 거예요. 보낸 곳은 커피 프랜차이즈 할리스(HOLLYS)예요. 할리스는 문자에서 “당사 멤버십 시스템에 인가되지 않은 접근이 발생해 고객님의 개인정보가 유출된 사실을 10월 16일 확인했다”고 밝혔어요.
새어 나간 정보에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일까지 들어 있어요. 대상은 2020년 2월 11일 이전에 할리스 멤버십에 가입한 고객이고요. “커피 앱 하나 털린 게 뭐 그리 대수일까” 싶지만, 진짜 걱정거리는 따로 있어요. 바로 같은 아이디·비밀번호를 다른 곳에서도 쓰고 있을 때예요. 무슨 일이 있었는지, 내가 대상인지 어떻게 아는지, 그리고 오늘 밤 어떤 순서로 비밀번호를 바꾸면 되는지까지 차근차근 풀어볼게요.
한 줄 요약부터
| 질문 | 짧은 답 |
|---|---|
| 무슨 일이에요? | 할리스 멤버십 시스템에 외부의 인가되지 않은 접근(해킹)이 있었고, 회원 개인정보가 유출됐어요 |
| 언제요? | 유출은 2026년 9월 3일~10월 7일 사이로 추정, 회사가 확인한 건 10월 16일, 고객 문자는 10월 18일 오후 |
| 누가 대상이에요? | 2020년 2월 11일 이전 할리스 멤버십 가입 고객 |
| 무엇이 샜나요? | 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 그 밖의 서비스 이용 관련 정보 |
| 몇 명이에요? | 아직 공개되지 않았어요. 언론도 “구체적인 피해 인원과 규모는 확인되지 않았다”고 전했어요 |
| 지금 할 일은? | 할리스 비밀번호 변경 + 같은 비밀번호를 쓰는 다른 서비스부터 변경, 출처 모를 문자·링크는 누르지 않기 |
할리스가 공지한 내용, 그대로 정리하면
할리스는 공식 홈페이지 공지사항에 ‘개인정보 유출 관련 사과 및 안내’라는 글을 10월 16일 날짜로 올렸어요. 문자 내용과 같은 항목이 들어 있어요. 회사 설명을 항목별로 옮기면 이래요.
| 공지 항목 | 할리스 설명 |
|---|---|
| 유출 시점·경위 | 2026년 9월 3일~10월 7일 사이 외부의 인가되지 않은 접근(해킹)으로 유출된 것으로 추정 |
| 유출 항목 | 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 이외 서비스 이용과 관련한 정보 |
| 대상 | 2020년 2월 11일 이전 할리스 멤버십 가입 고객 |
| 회사 조치 | 비인가 접근 경로 차단 및 인증 절차 강화 / 비정상 로그인 시도 모니터링 강화 / 관계 기관 신고 및 조사 협조 |
| 고객 권고 | 멤버십 비밀번호 즉시 변경 / 같은 아이디·비밀번호를 쓰는 다른 서비스 비밀번호도 변경 / 출처 불명 전화·문자·이메일에 응답하거나 링크 누르지 않기 |
| 회사 약속 | 할리스는 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다 |
| 문의 | 할리스 고객센터 02-2188-7100 (평일 09:00~18:00) |
한겨레 보도에 따르면 할리스는 이번 일을 회원 문자로 알렸고, 별도 보도자료는 내지 않았어요. 또 뉴스핌·디지털타임스는 18일 저녁 할리스 홈페이지(PC·모바일) 접속이 원활하지 않았다고 전했어요. 홈페이지가 잘 안 열려도 당황하지 말고, 아래 순서대로 다른 계정부터 챙기면 돼요.
나도 대상일까? 세 가지로 확인해요
| 확인 포인트 | 이렇게 보세요 | 해당하면 |
|---|---|---|
| ① 문자를 받았나 | 18일 오후 ‘개인정보 유출 통지’ 문자가 왔는지 문자함 검색(‘할리스’) | 대상일 가능성이 높아요. 문자 속 링크는 누르지 말고 내용만 확인 |
| ② 언제 가입했나 | 2020년 2월 11일 이전에 할리스 멤버십(앱·홈페이지)에 가입했는지 떠올려 보기 | 당시 쓰던 아이디·비밀번호가 무엇이었는지 기억해 두기 |
| ③ 그 비밀번호를 어디에 또 썼나 | 그 시절 만든 쇼핑몰·포털·배달앱 계정 중 같은 조합이 있는지 | 그곳들이 오늘 밤 1순위로 바꿀 대상이에요 |
문자를 못 받았더라도 2020년 2월 전에 가입한 기억이 있다면, 전화번호가 바뀌어 문자를 못 받았을 수도 있어요. 이럴 땐 고객센터(평일 09:00~18:00)에 직접 확인하는 게 가장 정확해요.
유출된 8가지, 하나씩 뜻을 풀어 보면
항목이 많아 막막하지만, 위험한 정도는 저마다 달라요. ‘이 정보로 누가 무엇을 할 수 있나’로 나눠 보면 대처 순서가 보여요.
| 유출 항목 | 어디에 쓰일 수 있나 | 내가 할 일 |
|---|---|---|
| 아이디 + 비밀번호 | 다른 사이트에 그대로 넣어 보는 ‘대입 로그인’ | 같은 조합을 쓴 곳 전부 변경 (가장 먼저) |
| 이름 + 생년월일 | “○○○ 고객님” 하며 진짜처럼 꾸민 사기 문자·전화 | 이름을 불러도 바로 믿지 않기 |
| 전화번호 | 스미싱 문자·보이스피싱 대상 목록 | 모르는 링크·번호 주의, 스팸 차단 앱 활용 |
| 주소 | 택배·배송 사칭 문자(“주소 불일치로 반송”) | 택배 확인은 공식 앱에서만 |
| 이메일 | 할리스·쿠폰·보상 안내를 흉내 낸 피싱 메일 | 메일 속 로그인 버튼 대신 직접 앱 열기 |
| 중복가입확인정보(DI) | 그 사이트 안에서 ‘같은 사람’을 가려내는 고유값 (아래에서 설명) | 직접 바꿀 수는 없으니 다른 정보 관리에 집중 |
| 서비스 이용 관련 정보 | 회사가 무엇인지 구체적으로 밝히지 않았어요 | 추가 공지 확인 |
한 가지 더. 공지에는 비밀번호가 어떤 방식으로(암호화돼) 저장돼 있었는지는 적혀 있지 않아요. “설마 그대로 저장했겠어?” 하고 기대하기보다는, ‘이미 알려졌다’고 생각하고 바꾸는 쪽이 안전해요. 반대로 카드번호나 계좌번호는 공지의 유출 항목에 따로 적혀 있지 않아요. 다만 ‘서비스 이용 관련 정보’가 정확히 무엇인지는 아직 설명이 없으니, 추가 안내를 지켜보는 게 좋아요.
‘DI’는 대체 뭐예요? CI와 헷갈리지 마세요
낯선 이름이 하나 있죠. DI(중복가입확인정보)는 휴대폰 본인인증 같은 걸 할 때 본인확인기관(통신사·신용평가사 등)이 만들어 사이트에 건네주는 값이에요. 한국인터넷진흥원(KISA)의 본인확인기관 지정 기준은 DI를 “웹사이트에 가입하려는 이용자의 중복가입 여부를 확인하는 데 쓰는 정보”로, 주민등록번호와 웹사이트 식별번호, 기관 간 공유비밀정보로 만든다고 정의해요. 비슷한 이름의 CI(연계정보)와 비교하면 이해가 쉬워요.
| 구분 | DI (중복가입확인정보) | CI (연계정보) |
|---|---|---|
| 쉬운 비유 | 그 가게 전용 회원 번호표 | 여러 가게가 함께 쓰는 공용 신원 번호표 |
| 만드는 재료 | 주민번호 + 웹사이트 식별번호 + 공유비밀정보 | 주민번호 + 공유비밀정보 |
| 사이트마다 | 값이 달라요 (사이트 번호가 섞이니까) | 같은 사람이면 어디서나 같아요 |
| 쓰는 목적 | “이 사람, 우리 사이트에 이미 가입했나?” 확인 | 서로 다른 서비스 간 이용자 연결 |
| 이번 할리스 공지 | 유출 항목에 포함 | 유출 항목에 적혀 있지 않음 |
DI는 사이트마다 다른 값이라 다른 사이트에 그대로 가져다 쓰긴 어렵고, 주민번호를 되살릴 수 있는 값도 아니에요. 그렇다고 아무 의미 없는 정보는 아니에요. 개인을 가려내는 식별값이 이름·생년월일·전화번호와 한 묶음으로 나갔다는 점이 이번 유출을 가볍게 볼 수 없는 이유예요.
언제 무슨 일이 있었나 (한국 시간)
| 날짜 | 일어난 일 | 누가 밝혔나 |
|---|---|---|
| 9월 3일 | 외부 비인가 접근으로 유출이 시작된 것으로 추정 | 할리스 공지 |
| 10월 7일 | 유출 추정 기간 끝 | 할리스 공지 |
| 10월 16일 | 할리스가 유출 사실을 확인, 홈페이지에 사과·안내 공지 게시 | 할리스 공지(게시일 10/16) |
| 10월 18일 오후 | 대상 고객에게 ‘개인정보 유출 통지’ 문자 발송 | 디지털타임스·뉴스1 |
| 10월 18일 저녁 | 오후 6시~8시 무렵 홈페이지 접속 불안정 | 뉴스핌 |
디지털타임스는 이 흐름을 두고 “해킹 44일째 알았다”고 짚었어요. 9월 3일을 첫날로 세면 10월 7일까지 35일 동안 유출이 이어졌고, 그 뒤로도 9일이 더 지나 16일에야 회사가 알아챘다는 계산이에요. 해커가 들어온 걸 늦게 알아채면 그만큼 정보가 오래, 많이 빠져나갈 수 있어요.
회사는 얼마나 빨리 알려야 할까? ‘72시간’ 규칙
우리나라 개인정보 보호법은 회사가 유출을 ‘알게 된 때’부터 시간을 재요. 시행령 제39조는 유출을 알게 되면 72시간 안에 서면 등으로 정보주체(우리)에게 알리도록 하고 있어요. 개인정보보호위원회의 대응 매뉴얼은 1천 명 이상 유출, 외부의 불법 접근으로 인한 유출 등은 72시간 안에 개인정보위에 신고하도록 안내해요.
| 규칙 | 내용 | 이번 할리스 사례 |
|---|---|---|
| 이용자 통지 | 유출을 알게 된 때부터 72시간 이내 개별 통지 (긴급 차단 조치 등 사유가 있으면 해소 후 즉시) | 16일 확인 → 같은 날짜로 홈페이지 공지, 18일 오후 문자 발송 |
| 통지 내용 | 유출 항목, 시점·경위, 피해 최소화 방법, 회사 대응·구제 절차, 신고 연락처 등 | 항목·시점·권고·연락처를 공지에 담음, 피해 인원은 미공개 |
| 모르는 부분 | 구체적 내용을 다 확인 못 했으면 확인된 것부터 먼저 알리고, 추가로 확인되면 즉시 다시 통지 | 규모 등이 확인되면 추가 안내가 올 수 있어요 |
| 기관 신고 | 1천 명 이상·외부 불법 접근 등은 72시간 이내 개인정보위 신고 | 할리스: “관계 기관 신고 및 조사 협조” |
즉 ‘72시간’은 해킹이 일어난 날이 아니라 회사가 알아챈 날부터 세요. 그래서 통지가 빨라도, 알아채는 데 오래 걸리면 그 사이 피해는 막을 수 없어요. 결국 회사의 ‘빨리 알아채는 힘’(감시·탐지)이 핵심이라는 뜻이에요.
진짜 위험은 ‘같은 비밀번호’예요
해커가 유출된 아이디·비밀번호를 손에 넣으면 가장 먼저 하는 일은 다른 유명 사이트에 그대로 넣어 보는 것이에요. 이걸 크리덴셜 스터핑(credential stuffing, 대입 로그인)이라고 불러요. 사람 손이 아니라 프로그램이 수많은 사이트에 자동으로 넣어 보기 때문에, 한 곳에서 샌 비밀번호가 쇼핑몰·메일·배달앱·SNS 문을 줄줄이 열 수 있어요. 할리스가 “같은 비밀번호를 쓰는 다른 서비스도 바꾸라”고 강조한 이유예요.
| 상황 | 벌어질 수 있는 일 | 막는 방법 |
|---|---|---|
| 할리스와 쇼핑몰 비밀번호가 같다 | 남의 이름으로 주문, 저장된 결제수단·포인트 사용 | 쇼핑몰 비밀번호 변경 + 간편결제 비밀번호 따로 |
| 할리스와 이메일 비밀번호가 같다 | 메일로 다른 사이트 ‘비밀번호 재설정’까지 줄줄이 뚫림 | 메일 계정을 최우선으로 바꾸고 2단계 인증 켜기 |
| 할리스와 배달·커피 앱 비밀번호가 같다 | 충전금·쿠폰·적립금 사용 | 앱 비밀번호 변경, 결제 알림 켜기 |
| 할리스와 SNS·메신저 비밀번호가 같다 | 내 계정으로 지인에게 “급하게 돈 좀” 사기 메시지 | SNS 비밀번호 변경 + 로그인 알림 켜기 |
오늘 밤 할 일, 순서대로
한꺼번에 다 하려면 지치니까 위험이 큰 곳부터 바꾸는 게 요령이에요.
| 순서 | 할 일 | 왜 이 순서? |
|---|---|---|
| 1 | 이메일 계정 (네이버·구글·다음 등) 비밀번호 변경 + 2단계 인증 켜기 | 메일이 뚫리면 다른 사이트 비밀번호 재설정이 다 넘어가요 |
| 2 | 돈이 오가는 곳: 쇼핑몰·간편결제·배달앱 중 같은 비밀번호를 쓴 곳 | 결제·포인트 피해로 바로 이어져요 |
| 3 | SNS·메신저 중 같은 비밀번호를 쓴 곳 | 지인 사칭 사기에 쓰일 수 있어요 |
| 4 | 할리스 멤버십 비밀번호 변경 (홈페이지가 불안정하면 나중에 다시) | 이미 샌 비밀번호라 반드시 바꿔야 하지만, 다른 곳 피해 차단이 더 급해요 |
| 5 | 새 비밀번호는 사이트마다 다르게, 휴대폰·브라우저의 비밀번호 관리자에 저장 | 다음 유출 때 ‘한 곳만’ 바꾸면 끝나도록 |
| 6 | 앞으로 며칠은 할리스·쿠폰·보상을 내세운 문자·메일 경계 | 유출 직후가 사칭 사기가 가장 많은 때예요 |
가짜 ‘할리스 문자’ 구별법
유출 소식이 퍼지면 그 틈을 노린 사칭 문자가 따라오기 쉬워요. 할리스는 공지에서 문자로 링크를 보내거나 비밀번호·금융·결제 정보를 요구하지 않는다고 분명히 밝혔어요. 이 한 문장을 기준으로 삼으면 돼요.
| 이런 문자는 | 판단 | 이유 |
|---|---|---|
| “유출 피해 보상 쿠폰 받기 ▶ 링크” | 의심 | 할리스는 문자로 링크를 보내지 않는다고 했어요 |
| “본인 확인을 위해 비밀번호를 입력하세요” | 사기 | 비밀번호를 요구하지 않는다고 했어요 |
| “피해 확인을 위해 카드번호·계좌 입력” | 사기 | 금융·결제 정보를 요구하지 않는다고 했어요 |
| “고객센터로 전화 주세요 010-…” | 의심 | 공지에 나온 고객센터는 02-2188-7100이에요 |
| 링크 없이 유출 사실·권고만 담긴 안내 | 내용 확인 OK | 그래도 확인은 공식 앱·홈페이지·고객센터에서 |
6년도 더 된 가입 정보가 왜 아직 남아 있었을까?
이번 대상이 2020년 2월 11일 이전 가입자라는 점이 눈에 띄어요. 회사는 왜 이 날짜가 기준인지는 공지에서 설명하지 않았어요. 다만 일반적으로 “오래 안 쓰면 알아서 지워지겠지”라고 생각하기 쉬운데, 제도가 바뀌었다는 점은 알아 두면 좋아요.
| 예전 | 지금 (2023년 9월 법 개정 이후) | 내게 주는 뜻 |
|---|---|---|
| 1년 동안 서비스를 안 쓰면 개인정보를 파기하거나 따로 분리 보관하도록 의무화 (‘유효기간제’) | 유효기간제 폐지. 회사가 서비스 특성에 맞게 휴면 정책을 스스로 정하고 미리 알리도록 | 안 쓰는 계정이라도 자동으로 사라진다고 믿으면 안 돼요 |
| ‘휴면 전환 안내’ 메일이 자주 옴 | 회사마다 휴면 기간(6개월·1년·2년 등)이 다를 수 있음 | 안내 메일이 오면 계속 쓸지, 탈퇴할지 직접 정하기 |
| 탈퇴하려면 사이트를 하나하나 기억해야 했음 | 개인정보위 개인정보 포털·e프라이버시 클린서비스로 본인확인 내역을 조회하고 탈퇴 신청 가능 | 이번 기회에 잊고 지낸 가입처를 한 번 훑어보기 |
개인정보보호위원회도 오래 쓰지 않는 서비스는 계속 이용할지, 탈퇴해서 정보를 파기하게 할지 이용자가 직접 확인하라고 안내하고 있어요. 안 쓰는 계정은 그 자체로 ‘언젠가 털릴 수 있는 창고’예요. 줄일수록 다음 유출 뉴스에 덜 놀라게 돼요.
피해가 생기면 어디로?
| 상황 | 연락처 | 메모 |
|---|---|---|
| 내가 대상인지, 어떤 정보가 샜는지 확인 | 할리스 고객센터 02-2188-7100 | 평일 09:00~18:00 |
| 개인정보 침해 피해 신고·상담 | 개인정보침해 신고센터 118 | 할리스 공지에 안내된 번호 |
| 손해배상 등 분쟁 조정 상담 | 개인정보분쟁조정위원회 1833-6972 | 할리스 공지에 안내된 번호 |
| 잊고 지낸 가입 사이트 정리 | e프라이버시 클린서비스 / 개인정보 포털 | 본인확인 내역 조회 → 탈퇴 신청 |
자주 하는 오해
| 오해 | 실제 |
|---|---|
| “할리스 앱을 안 쓰니 상관없다” | 대상은 2020년 2월 11일 이전 가입자예요. 지금 안 써도 그때 가입했다면 해당될 수 있어요 |
| “할리스 비밀번호만 바꾸면 끝” | 진짜 위험은 같은 비밀번호를 쓰는 다른 서비스예요. 그쪽이 더 급해요 |
| “카드 정보가 아니니 돈 피해는 없다” | 다른 쇼핑·결제 계정이 같은 비밀번호라면 간접적으로 돈 피해가 날 수 있어요 |
| “문자에 링크가 있으면 공식 안내겠지” | 할리스는 문자로 링크를 보내지 않는다고 했어요. 링크가 있다면 먼저 의심하세요 |
| “오래된 계정은 자동으로 지워진다” | 2023년 유효기간제 폐지 이후 회사마다 정책이 달라요. 직접 탈퇴가 가장 확실해요 |
정리하며
최근 유통·플랫폼 업계에서는 개인정보 유출이 잇따랐어요. 뉴스1에 따르면 지난달 파르나스호텔앤리조트에서도 외부 해킹으로 회원 정보가 새어 나갔고, 8월에는 29CM에서 고객 개인정보 15만여 건이 유출됐어요. 이번 할리스 사고는 “자주 안 쓰는 작은 멤버십 하나도 내 비밀번호 창고”라는 걸 다시 보여 줘요. 피해 인원이 얼마나 되는지, ‘서비스 이용 관련 정보’가 정확히 무엇인지는 아직 밝혀지지 않았으니 추가 공지를 지켜봐야 해요. 그 전에 우리가 할 수 있는 건 분명해요. 오늘 밤 이메일 → 돈이 오가는 곳 → SNS → 할리스 순서로 ‘같은 비밀번호’를 끊어 내고, 링크 달린 보상 문자는 일단 의심하기. 이 두 가지만 해도 이번 유출이 내 다른 계정으로 번지는 길을 대부분 막을 수 있어요.