할리스 멤버십 해킹, 2020년 2월 이전 가입자 비밀번호·주소 유출 — 오늘 할 일 6가지

커피 한 잔 값 아끼려고 만든 멤버십 계정이 몇 년 뒤 해킹 사고의 입구가 될 수 있습니다. 카페 프랜차이즈 할리스가 멤버십 시스템에 외부의 비인가 접근이 있었고 회원 개인정보가 빠져나갔다고 18일 고객들에게 문자로 알렸습니다. 아직 몇 명이 피해를 입었는지는 공개되지 않았습니다. 지금까지 확인된 사실과, 해당되는 분이 오늘 바로 할 일을 정리했습니다.

언제부터 언제까지, 누구 정보가 빠져나갔나

회사 측 설명을 종합하면 유출이 일어난 것으로 추정되는 기간은 2026년 9월 3일부터 10월 7일까지입니다. 할리스는 이 사실을 10월 16일에 확인했고, 18일에 고객 개별 문자로 알렸습니다. 대상은 2020년 2월 11일 이전에 할리스 멤버십에 가입한 고객입니다. 그러니 최근에 가입한 분보다 오래전부터 계정을 갖고 있던 분이 먼저 점검해야 합니다.

아이디와 비밀번호까지 포함됐다는 게 왜 문제일까

보도에 나온 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 그리고 중복가입확인정보(DI)입니다. 한 가지만 새도 찜찜한데, 신원을 특정할 수 있는 정보가 한꺼번에 묶여 나갔다는 점이 핵심입니다. 이름과 전화번호, 주소가 함께 있으면 택배나 카드사를 사칭하는 문자를 그럴듯하게 꾸밀 수 있습니다.

비밀번호가 암호화된 상태로 저장돼 있었는지는 확인되지 않았습니다. 이 부분은 보도에서도 밝혀지지 않아 저도 판단할 수 없습니다. 암호화 여부와 상관없이 같은 비밀번호를 다른 사이트에서 쓰고 있다면 바꾸는 쪽이 안전합니다.

회사는 무엇을 했고, 무엇이 아직 비어 있나

할리스는 비인가 접근 경로를 막고 인증 절차를 강화했으며 비정상 로그인 시도를 더 촘촘히 살피고 있다고 밝혔습니다. 관계 기관 신고와 조사 협조에 대해서는 매체마다 표현이 조금 달라, 이미 신고했다고 쓴 곳도 있고 신고할 예정이라고 쓴 곳도 있습니다. 어느 기관에 접수했는지는 확인하지 못했습니다. 피해 인원, 2차 피해 여부, 비밀번호 암호화 여부도 현재로서는 공개된 자료에서 찾지 못했습니다.

제 해석: 숫자가 나오기 전에 이용자가 할 수 있는 일

여기서부터는 제 해석입니다. 유출 추정 기간이 한 달 넘게 이어졌고, 회사가 인지한 시점과 고객 안내까지 이틀이 걸렸습니다. 사고가 터지면 보통 규모는 조사가 진행되면서 뒤늦게 공개되는 경우가 많으니, 숫자가 나오기를 기다리기보다 내 계정부터 정리하는 편이 낫다고 봅니다. 또 2020년 이전 가입자라는 범위를 보면, 오래 쓰지 않고 방치된 계정이 약한 고리였을 가능성이 있습니다. 다만 이건 어디까지나 추정이며, 원인이 공식 발표된 것은 아닙니다.

오늘 바로 확인할 체크리스트

1. 할리스 멤버십 비밀번호를 바꿉니다. 문자를 받지 않았더라도 2020년 2월 이전에 가입했다면 바꿔두세요.
2. 같은 아이디와 비밀번호를 쓰는 다른 서비스가 있으면 그쪽도 모두 새 비밀번호로 바꿉니다. 서비스마다 다른 비밀번호를 쓰는 게 가장 확실합니다.
3. 문자 속 링크는 누르지 말고, 앱이나 공식 웹사이트에 직접 들어가 확인합니다. 할리스를 사칭한 안내나 쿠폰, 환불 문자를 특히 경계하세요.
4. 모르는 번호에서 오는 전화와 문자는 응답하지 않습니다. 가족이나 지인을 사칭하는 경우도 있어 한 번 더 확인합니다.
5. 쓰지 않는 멤버십은 탈퇴하거나 정보를 최소로 줄입니다. 이메일로 가입 알림이 오는 서비스를 한번 훑어볼 만합니다.
6. 가능하다면 이메일과 주요 계정에 2단계 인증을 켭니다.

이 글은 보도된 내용을 정리한 정보 제공용이며, 법률 자문이 아닙니다. 보도 이후 피해 규모나 사실관계가 달라질 수 있으니 할리스 공식 공지와 후속 보도를 함께 확인하세요.

참고한 보도

• 이투데이, 할리스 멤버십 고객 개인정보 유출 (2026.10.18)
• 한국경제, 비밀번호 당장 바꾸세요…할리스도 고객 정보 유출 (2026.10.18)
• 아이티데일리, 할리스 멤버십 고객 개인정보 유출 (2026.10.18)
• SBS Biz, 할리스 해킹에 고객정보 유출 (2026.10.18)