할리스 옛 회원정보 약 276만건 유출, 신고는 29시간 지나서
할리스를 운영하는 케이지에프앤비가 고객정보 유출 사고를 인지한 뒤 법정 기한인 24시간을 넘겨 29시간49분 만에 신고한 사실이 10월 20일 국회 자료에서 드러났다.
유선영 기자
할리스 운영사 케이지에프앤비가 고객정보 유출 사고를 알고도 법정 기한인 24시간을 넘겨 29시간49분 만에 신고한 사실이 10월 20일 국회 자료로 드러났다.
할리스는 10월 19일 공식 입장문을 냈다. 한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만건이다. 회사는 새어 나간 데이터가 과거 멤버십 서비스를 개편할 때 넘긴 임시 데이터 파일이라고 보고 있다. 2009년부터 2020년 2월 11일 사이에 쌓인 고객 데이터로, 중복 회원도 섞여 있을 것으로 회사는 추정했다.
빠져나간 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 그 밖의 서비스 이용 관련 정보 등 9개다. 할리스 설명은 이렇다. 외부 공격자가 가상화폐를 채굴하려고 클라우드 서비스에 비정상적으로 드나들었고, 그 과정에서 고객정보 일부가 새어 나갔다는 것이다. 회사는 유출이 9월 3일부터 10월 7일 사이에 벌어진 것으로 본다.
신고서에 적힌 사고 인지 시점은 10월 15일 낮이다. 한국인터넷진흥원이 국회에 낸 답변을 보면 신고는 이튿날인 10월 16일 저녁에야 접수됐다. 현행 정보통신망법은 정보통신서비스 제공자가 침해사고를 안 때부터 24시간 안에 과학기술정보통신부 장관이나 한국인터넷진흥원에 신고하도록 정하고 있다. 이를 어기면 최대 5천만원의 과태료를 물 수 있다.
고객이 사고 소식을 들은 건 신고가 끝난 뒤였다. 할리스는 10월 16일 밤 홈페이지에 유출 사실을 올렸고, 고객들에게 문자메시지를 보낸 날은 10월 18일이다. 회사는 비인가 접근 경로를 막고 인증 절차를 강화했으며, 비정상적인 로그인 시도도 더 촘촘히 감시하고 있다고 했다. 관계 기관에 신고했고 조사에도 협조하고 있다는 설명이다.
멤버십 고객에게 내놓은 안내는 비밀번호 변경과 수상한 연락에 대한 대처, 두 가지다. 할리스는 멤버십 계정 비밀번호를 바로 바꾸고, 같은 아이디와 비밀번호를 쓰는 다른 서비스의 비밀번호도 함께 바꿔 달라고 요청했다. 출처가 불분명한 전화·문자·이메일에는 답하지 말고 링크도 누르지 말라고 당부했다. 할리스는 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하는 일이 없다고 못 박았다.
할리스는 문제의 클라우드를 쓰는 멤버십 서비스를 서둘러 중단하겠다고 했다. 계산대 앞에서 손님이 유출 경위를 물을 때 전할 수 있는 회사 설명은 과거 멤버십 개편용 임시파일에 관한 것이다. 회사는 현재 쓰고 있는 고객 데이터베이스(DB)와는 별개로, 개편 때 넘긴 임시 데이터 파일이 유출됐다고 보고 있다. 무엇을 해야 하느냐고 묻는 손님에게는 멤버십 계정과 같은 아이디·비밀번호를 쓰는 다른 서비스의 비밀번호도 바꿔 달라는 회사 안내를 전할 수 있다. 문자로 링크를 보내거나 비밀번호, 금융·결제 정보를 요구하지 않는다는 회사 설명도 손님 문의에 함께 알려줄 내용이다.