6년 넘게 남아 있던 임시 파일
할리스 멤버십 클라우드가 해킹을 당하면서 고객 개인정보 약 276만 건이 유출됐습니다. 대상은 2009년부터 2020년 2월 11일 이전 가입 회원이며, 아이디·비밀번호·이름·생년월일·전화번호·주소·이메일·중복가입확인정보·이용 기록 등 9개 항목이 포함됐습니다. 현재 운영 중인 데이터베이스가 아니라, 과거 멤버십 개편 때 만든 임시 파일이 문제였습니다.
할리스는 지난 9월 3일부터 10월 7일 사이 해커가 가상화폐 채굴을 목적으로 클라우드에 비정상 접근한 것으로 파악했습니다. 유출 사실은 10월 16일 확인됐고, 19일 한국인터넷진흥원에 신고됐습니다. 임시 파일이 6년 넘게 남아 있으면서 접근 관리의 사각지대가 된 셈입니다. 가입 이력이 없다는 고객에게도 안내 문자가 가면서 혼란이 일었습니다.
할리스는 접근 경로를 차단하고 인증 절차와 비정상 로그인 모니터링을 강화했습니다. 클라우드 기반 멤버십 서비스는 중단하고, 고객에게 비밀번호 변경과 출처 불분명한 연락 주의를 당부했습니다. 개인정보보호위원회는 유출 경위와 법정 보유 기간 위반 여부를 조사할 예정입니다.
또 드러난 '유령 데이터'
비슷한 문제는 할리스만의 일이 아닙니다. 쿠팡은 탈퇴 회원 246만 5,592건의 주소·배송지 정보와 31만 8,499건의 계좌번호를 90일 이내에 파기하지 못한 것으로 지적됐습니다. 원본을 지웠더라도 사본과 임시 파일, 출력물이 남아 있으면 유출 위험은 사라지지 않습니다.
전문가들은 보관 기간을 점검하고 목적이 끝난 정보는 바로 파기해야 한다고 강조합니다. 필요한 정보만 최소한으로 수집하고, 서비스 설계 단계부터 보호를 반영하는 프라이버시 중심 설계도 요구됩니다. IBM의 2024년 보고서에서는 사고의 35%가 관리되지 않는 저장소의 데이터와 관련된 것으로 나타났습니다.
국정감사에서는 한국인 개인정보가 다크웹에서 평균 9건씩 거래된다는 지적과 함께 유통·플랫폼 기업의 보안 투자 부족 문제가 제기됐습니다. 2023년 개정으로 휴면 회원 정보 파기 의무가 폐지되면서 기업의 관리 책임은 더 커졌습니다. 고의나 중대한 과실로 1,000만 명 이상 피해가 발생하면 매출의 10%까지 과징금이 부과될 수 있습니다.
남은 과제
이번 사건의 핵심은 해킹 자체뿐 아니라 오래된 데이터를 방치한 관리 체계에 있습니다. 고객은 같은 아이디와 비밀번호를 쓰는 다른 서비스까지 2차 피해가 번질 수 있어 즉시 비밀번호를 바꾸는 것이 중요합니다. 결국 개인정보 보호는 사고 뒤 수습이 아니라, 평소의 데이터 관리에서 완성되는 셈입니다.