커피 프랜차이즈 할리스의 멤버십 클라우드 서비스에서 미인가 접근이 일어나 276만여 건의 고객 정보가 새어 나갔다. 회사는 지난 16일 침해 정황을 포착하고 한국인터넷진흥원(KISA)에 해당 사실을 신고했다고 20일 알렸다.
유출 대상은 2009년부터 2020년 2월 11일까지 축적된 고객 자료로 중복 회원을 포함해 약 276만 건이다. 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보다. 할리스는 현행 운영 데이터베이스가 아닌 과거 멤버십 개편 과정에서 생성한 임시 데이터 파일이 빠져나간 것으로 보고 있다.
업무 편의를 위해 추출한 파생 자료를 방치해 일어난 침해 사고는 이번이 처음이 아니다. 쿠팡 역시 탈퇴 회원의 배송지 정보 246만 5592건과 즉시 지워야 할 계좌번호 31만 8499건을 보관하다 적발됐다. 개인정보보호위원회는 지난 6월 쿠팡에 파기 정책과 관리 체계를 바로잡으라는 시정명령을 내렸다. IBM의 “2024 데이터 유출 비용 보고서”에서도 전 세계 침해 사고 피해 조직 604곳 가운데 35%가 관리 밖 저장소에 방치된 데이터와 얽혀 있었다.
전문가들은 무분별한 정보 수집 관행을 버리고 파기 절차를 세워야 한다고 짚었다. 곽진 아주대 사이버보안학과 교수는 “개인정보는 원본뿐 아니라 사본과 출력물까지 보호해야 한다”며 “쓰든지 안 쓰든지 정보는 다 모아 놓으면 좋다고 생각한다”고 지적했다. 염흥열 순천향대 정보보호학과 명예교수도 “수집했으면 철저하게 지켜야 하고 목적이 달성되거나 수명이 다했으면 파기하는 게 기본적인 프라이버시 보호 원칙”이라며 서비스 전 과정에 적용하는 관리 체계 재검토를 강조했다.
