[할리스] 멤버십 시스템 해킹으로 2020년 2월 이전 가입 고객 비밀번호·주소·DI 등 개인정보 유출_2026년 10월
커피 프랜차이즈 할리스의 멤버십 시스템이 해킹돼 2020년 2월 11일 이전 멤버십 가입 고객의 아이디·비밀번호·이름·생년월일·전화번호·주소·이메일·중복가입확인정보(DI) 등이 유출됐습니다. 유출은 2026년 9월 3일부터 10월 7일 사이에 일어난 것으로 추정되며, 할리스는 10월 16일 이를 확인하고 비인가 접근 경로 차단, 관계 기관 신고 등의 조치를 했다고 밝혔습니다.
□ 개요
할리스는 멤버십 시스템에 인가되지 않은 접근이 발생해 고객 개인정보가 유출된 사실을 2026년 10월 16일 확인했다고 밝혔습니다.
할리스 공지에 따르면 유출은 2026년 9월 3일부터 10월 7일 사이 외부의 인가되지 않은 접근(해킹)으로 일어난 것으로 추정됩니다. 대상은 2020년 2월 11일 이전 할리스 멤버십 가입 고객입니다. 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI)와 그 밖의 서비스 이용 관련 정보입니다.
할리스는 비인가 접근 경로를 차단하고 인증 절차를 강화했으며, 비정상 로그인 시도 모니터링을 강화하고 관계 기관에 신고해 조사에 협조하고 있다고 밝혔습니다. 10월 16일 홈페이지에 사과 공지를 올렸고, 10월 18일부터 대상 고객에게 문자로 알리고 있습니다. 같은 날 저녁 할리스 홈페이지는 접속 지연이 심하고 화면이 깨져 보이는 상태였습니다. 아이디와 비밀번호가 함께 유출된 만큼, 같은 계정 정보를 쓰는 다른 서비스를 노린 크리덴셜 스터핑과 할리스를 사칭한 스미싱·피싱 등 2차 피해에 주의해야 합니다.
□ 사고내용 요약
1. 회사명 : 할리스(커피 프랜차이즈)
2. 사고유형
- 멤버십 시스템 외부 해킹(인가되지 않은 접근)에 의한 고객 개인정보 유출
3. 유출규모
- 2020년 2월 11일 이전 할리스 멤버십 가입 고객(정확한 인원 미공개)
4. 유출항목
- 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 이외 서비스 이용과 관련한 정보
5. 특이사항
- 유출 추정 기간은 2026년 9월 3일 ~ 10월 7일(약 5주), 유출 확인은 10월 16일로, 유출이 끝난 뒤 9일 만에 확인
- 아이디·비밀번호가 함께 유출돼 같은 계정 정보를 쓰는 다른 서비스로 피해가 번질 수 있음(비밀번호 암호화 여부 미공개)
- DI(중복가입확인정보)는 본인확인기관이 발급하는 개인 식별값으로, 다른 정보와 결합하면 동일인 식별에 쓰일 수 있음
- 대상이 2020년 2월 11일 이전 가입 고객으로 한정돼, 오래된 회원 데이터가 보관된 시스템이 공격받았을 가능성(추정, 장기 미이용 회원 정보의 파기·분리보관 여부 확인 필요)
- 할리스는 10월 7일 '서버 이전에 따른 10월 19일 서비스 일시 중단' 공지를 게시했으며, 유출 추정 종료일과 날짜가 같음(이번 사고와의 관련성은 미확인)
- 10월 18일 저녁 할리스 홈페이지 접속 지연이 심하고 화면이 깨져 보이는 상태(원인 미공개)
- 할리스는 "문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다"고 안내
□ 사고대응 타임라인
- 2026년 9월 3일 ~ 10월 7일
. 멤버십 시스템에 외부의 인가되지 않은 접근(해킹)으로 개인정보 유출(추정)
- 2026년 10월 7일
. (참고) '서비스 일시 중단 안내' 공지 게시 : 서버 이전 작업으로 10월 19일 00:00~06:00 홈페이지·앱 서비스 중단 예정
- 2026년 10월 16일
. 할리스, 개인정보 유출 사실 확인
. 홈페이지에 '개인정보 유출 관련 사과 및 안내' 공지 게시
- 2026년 10월 18일
. 대상 고객에게 유출 안내 문자 발송
. 매일경제, 비밀번호·집 주소 등 유출 단독 보도
. 저녁 무렵 할리스 홈페이지 접속 지연·화면 깨짐 확인
- 2026년 10월 19일(예정)
. 홈페이지·앱 서버 이전 작업(00:00~06:00)
□ 개인정보 유출 관련 홈페이지 안내
개인정보 유출 관련 사과 및 안내
할리스를 이용해 주시는 고객님께 깊은 사과의 말씀을 드립니다.
당사 멤버십 시스템에 인가되지 않은 접근이 발생하여 고객님의 개인정보가 유출된 사실을 2026년 10월 16일 확인하였기에 안내 드립니다.
■ 유출 시점 및 경위
2026년 9월 3일~10월 7일 사이 외부의 인가되지 않은 접근(해킹)으로 유출된 것으로 추정됩니다.
■ 유출 항목
아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 이외 서비스 이용과 관련한 정보
■ 대상
2020년 2월 11일 이전 할리스 멤버십 가입 고객
■ 당사 조치
- 비인가 접근 경로 차단 및 인증 절차 강화
- 비정상 로그인 시도에 대한 모니터링 강화
- 관계 기관 신고 및 조사 협조
■ 고객님께 권고 드리는 사항
- 할리스 멤버십 계정의 비밀번호를 즉시 변경해 주세요.
- 같은 아이디·비밀번호를 쓰는 다른 서비스의 비밀번호도 변경해 주세요.
- 출처가 불분명한 전화, 문자, 이메일에는 응답하거나 링크를 누르지 마세요.
- 할리스는 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않습니다.
■ 문의 및 피해 접수
할리스 고객센터 ☎ 02-2188-7100 (평일 09:00~18:00)
자세한 내용은 할리스 공식 홈페이지·앱 공지사항을 확인해 주세요.
피해 구제는 개인정보침해 신고센터(☎118), 개인정보분쟁조정위원회(☎1833-6972)에서도 상담 받으실 수 있습니다.
이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과 드립니다.
당사는 고객 정보 보호와 피해 최소화를 위해 최선을 다하겠습니다.
□ 대응내역
- (할리스) 비인가 접근 경로 차단 및 인증 절차 강화
- (할리스) 비정상 로그인 시도에 대한 모니터링 강화
- (할리스) 관계 기관 신고 및 조사 협조
- (할리스) 홈페이지 사과 공지 게시(10월 16일), 대상 고객 문자 통지(10월 18일)
- (할리스) 고객센터(02-2188-7100) 문의·피해 접수 운영
※ 정확한 유출 인원, 침입 경로, 비밀번호 암호화 여부, 신고한 관계 기관명, 피해 보상 방안, 홈페이지 접속 장애 원인은 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 비밀번호는 솔트를 적용한 안전한 일방향 해시(bcrypt, Argon2 등)로 저장하고, 주소·DI 등 주요 정보는 암호화
- 유출 대상 고객 전원 비밀번호 강제 초기화, 로그인 시 추가 인증(2단계 인증) 도입
- 크리덴셜 스터핑 대응 : 비정상 로그인 탐지, 로그인 시도 횟수 제한, 봇 차단
- 멤버십 DB의 대량 조회·반출 탐지와 접근통제 강화(약 5주간 유출을 탐지하지 못한 원인 점검)
- 구 시스템·레거시 회원 DB를 포함한 외부 공격표면 점검과 취약점 조치
2. 관리적 조치
- 장기 미이용 회원 정보는 법령에 따라 파기하거나 분리 보관하고, 보유기간이 지난 개인정보가 남아 있는지 전수 점검
- 침입 경로와 정확한 유출 규모를 확인해 고객에게 구체적으로 다시 안내
- 서버 이전 등 시스템 변경 작업과 운영 위탁사의 보안 관리 점검
- 고객 피해 예방 : 할리스와 같은 비밀번호를 쓰는 다른 사이트의 비밀번호 즉시 변경, 할리스·택배를 사칭한 문자의 링크 클릭 금지, 포인트·쿠폰 무단 사용 여부 확인
□ 관련기사(출처)
- [단독] “비밀번호에 집 주소까지 털렸다”…할리스 멤버십 해킹, 개인정보 무더기 유출 - 매일경제
- 개인정보 유출 관련 사과 및 안내 - 할리스 공지사항
- 서비스 일시 중단 안내 - 할리스 공지사항
감사합니다.