결론부터 말씀드리면, 2020년 2월 11일 이전에 할리스 멤버십에 가입한 적이 있다면 유출 대상일 가능성이 있으므로 오늘 바로 비밀번호부터 바꾸셔야 합니다.
유출 항목에 아이디와 비밀번호가 함께 들어 있어, 같은 조합을 쓰는 다른 사이트 계정까지 위험해질 수 있다는 점이 이번 사고의 핵심입니다.
회사는 문자로 링크를 보내거나 비밀번호·결제 정보를 묻지 않는다고 밝혔으므로, 유출을 핑계로 한 연락은 일단 의심하고 공식 경로로만 확인하시는 것이 안전합니다.
커피 프랜차이즈 할리스가 2026년 10월 16일 홈페이지에 개인정보 유출 사과 공지를 올렸고, 10월 19일에는 후속 안내를 추가로 게시했습니다. 이 글에서는 회사 공지와 보도 내용을 바탕으로 무엇이 유출됐는지, 내가 대상인지 어떻게 가늠하는지, 그리고 지금 해야 할 일을 순서대로 정리합니다. 수치와 날짜는 모두 2026년 10월 19일 기준으로 공개된 내용이며, 조사가 진행 중이라 이후 바뀔 수 있습니다.
할리스 개인정보 유출, 무슨 일이 있었나
할리스 공식 홈페이지 공지사항에는 2026년 10월 16일 오후 9시 36분에 "개인정보 유출 관련 사과 및 안내"가, 10월 19일 오후 4시 51분에 "개인정보 유출 관련 후속 안내"가 올라와 있습니다. 두 공지 모두 본문이 이미지로 게시되어 있어, 세부 내용은 회사 입장문을 인용한 언론 보도를 함께 참고했습니다.
보도에 따르면 회사는 10월 16일에 외부의 비인가 접근을 확인했고, 접근이 이뤄진 기간은 2026년 9월 3일부터 10월 7일 사이로 추정됩니다. 약 한 달 넘게 외부 접근이 이어졌을 수 있다는 뜻입니다. 고객에게 보내는 문자 안내는 공지 이틀 뒤인 10월 18일에 발송됐습니다.
10월 19일 공식 입장문에서 회사는 한국인터넷진흥원(KISA)에 신고한 유출 규모가 약 276만 건이라고 밝혔습니다. 다만 이 숫자에는 중복 가입 건이 포함되어 있고, 정확한 규모는 아직 확인 중이라고 덧붙였습니다. 따라서 276만 명이 유출됐다고 단정하기보다는 "신고 기준 약 276만 건"으로 이해하시는 것이 정확합니다.
왜 유출됐나: 운영 DB가 아닌 임시 데이터 파일
회사 설명에 따르면 유출된 데이터는 현재 운영 중인 고객 데이터베이스가 아니라, 과거 멤버십 서비스를 개편할 때 만든 임시 데이터 파일로 파악됐습니다. 외부 공격자가 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적으로 접근했고, 그 과정에서 이 파일에 담긴 고객 정보 일부가 노출된 것으로 회사는 보고 있습니다. 개편 작업 때 쓰고 남은 사본이 몇 년 동안 클라우드에 남아 있었던 셈이어서, 기업의 데이터 보관·파기 관리 문제가 다시 제기되고 있습니다.
내가 유출 대상인지 확인하는 기준
이번 사고에서 가장 먼저 볼 기준은 가입 시점입니다. 회사는 2020년 2월 11일 이전에 멤버십에 가입한 회원이 대상이라고 안내했고, 보도에 따르면 유출 파일에는 2009년부터 2020년 2월 11일까지 누적된 고객 정보가 담긴 것으로 추정됩니다. 2020년 2월 12일 이후에 처음 가입했다면 회사 안내 기준으로는 대상에 해당하지 않습니다.
가입 시점이 기억나지 않는다면 다음 방법으로 가늠해 볼 수 있습니다.
- 10월 18일 전후로 할리스 명의의 유출 안내 문자를 받았는지 확인합니다. 다만 같은 시기 사칭 문자가 섞일 수 있으므로 문자 속 링크는 누르지 않습니다.
- 이메일 보관함에서 "할리스" 또는 "Hollys"로 검색해 예전 가입 환영 메일이나 영수증 메일이 2020년 2월 이전에 있었는지 봅니다.
- 확인이 어렵다면 할리스 공식 홈페이지나 앱의 고객센터 메뉴로 직접 문의합니다. 문자에 적힌 번호나 링크가 아니라 내가 직접 찾아 들어간 공식 경로를 이용하는 것이 원칙입니다.
탈퇴한 회원의 정보까지 포함됐는지는 10월 19일 기준으로 확인되지 않았습니다. 일부 보도에서 탈퇴 회원 정보가 남아 있었다는 제보가 언급됐지만, 회사가 공식적으로 밝힌 내용은 아닙니다. 예전에 가입했다가 탈퇴한 분도 2020년 2월 이전 가입 이력이 있다면 아래 조치를 똑같이 해 두시는 편이 안전합니다.
유출된 9가지 항목과 위험도
회사가 밝힌 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 기타 서비스 이용 정보입니다. 주민등록번호나 카드번호는 언급되지 않았습니다. 그렇다고 안심하기는 이릅니다. 항목별로 어떤 피해로 이어질 수 있는지 정리하면 다음과 같습니다.
| 유출 항목 | 악용될 수 있는 방식 | 지금 할 조치 |
| 아이디·비밀번호 | 같은 조합으로 다른 사이트에 자동 로그인 시도 | 할리스와 같은 비밀번호를 쓴 모든 계정 비밀번호 변경 |
| 이름·전화번호 | 내 이름을 부르며 접근하는 스미싱·보이스피싱 | 출처 불명 문자 링크 클릭 금지, 공식 번호로 역확인 |
| 생년월일·주소 | 본인인 척 신뢰를 얻는 사칭, 택배 사칭 문자 | "내 정보를 알고 있다"는 이유로 믿지 않기 |
| 이메일 | 피싱 메일, 가짜 비밀번호 재설정 메일 | 메일 속 링크 대신 사이트에 직접 접속해 확인 |
| DI(중복가입확인정보) | 단독으로 큰 피해는 제한적이나 다른 정보와 결합될 수 있음 | 본인 확인을 요구하는 낯선 연락에 응하지 않기 |
특히 비밀번호가 함께 유출됐다는 점이 중요합니다. 회사 공지는 비밀번호가 어떤 형태로 저장돼 있었는지(암호화 여부 등)를 구체적으로 밝히지 않았습니다. 형태와 관계없이 유출된 이상 이미 공격자 손에 들어갔다고 보고 대응하는 것이 원칙입니다. 하나의 아이디·비밀번호 조합을 여러 사이트에서 돌려 쓰면, 한 곳에서 새어 나간 조합으로 포털·쇼핑몰·간편결제 계정까지 차례로 로그인을 시도하는 공격에 노출됩니다.
지금 바로 해야 할 대응 순서
회사가 권고한 내용과 금융당국이 개인정보 유출 2차 피해와 관련해 안내한 행동요령을 합쳐, 우선순위대로 정리하면 다음과 같습니다.
1단계: 할리스 비밀번호 변경
공식 홈페이지나 앱에 직접 접속해 멤버십 계정 비밀번호를 바꿉니다. 10월 19일 새벽에는 서버 이전 작업으로 홈페이지와 앱이 일시 중단된다는 공지가 있었고, 보도에 따르면 사고 이후 접속이 원활하지 않은 때도 있었습니다. 접속이 안 될 때 검색 광고나 문자 링크로 우회하지 말고, 잠시 뒤 공식 주소로 다시 시도하는 것이 좋습니다.
2단계: 같은 비밀번호를 쓰는 다른 계정 변경
이번 사고에서 실제 피해로 이어질 가능성이 가장 큰 부분입니다. 할리스 가입 당시 쓰던 비밀번호를 지금도 쓰는 곳이 있는지 떠올려 보고, 이메일·포털·쇼핑몰·간편결제·통신사 계정부터 바꿉니다. 사이트마다 서로 다른 비밀번호를 쓰고, 지원하는 서비스에서는 2단계 인증(로그인 시 추가 인증)을 켜 두면 비밀번호가 새어 나가도 로그인을 한 번 더 막을 수 있습니다.
3단계: 의심 연락 차단과 명의도용 대비
금융위원회는 2026년 10월 6일 금융권 해킹 사고와 관련해 소비자경보 "주의"를 발령하면서, 유출 보상을 미끼로 한 문자, 대환대출을 빙자한 이체 요구, 선입금 요구, 원격제어 앱 설치 유도 같은 2차 피해 유형을 안내했습니다. 할리스 사고와는 별개의 사안이지만, 이름과 전화번호가 유출된 상황에서 나타날 수 있는 수법이라는 점은 같습니다. 이때 함께 안내된 대비책은 다음과 같습니다.
- 여신거래·비대면 계좌개설·오픈뱅킹 안심차단서비스: 내 명의로 대출이나 계좌가 무단으로 만들어지는 것을 미리 막는 서비스로, 거래 금융회사 영업점이나 은행 앱, "내계좌한눈에"에서 신청할 수 있습니다.
- 금융감독원 파인의 개인정보노출자 사고예방시스템: 정보를 등록하면 금융회사에 공유되어 본인 명의 신규 계좌 개설과 신용카드 발급이 제한됩니다.
- 주민등록번호, 계좌 비밀번호, 신분증 사본 같은 본인인증 정보는 휴대폰에 저장하지 않습니다.
이번 할리스 유출 항목에는 금융정보가 포함되지 않은 것으로 발표됐기 때문에 위 금융 차단 서비스가 반드시 필요한 것은 아닙니다. 다만 최근 다른 사고로 정보가 여러 번 노출된 분이라면 이번 기회에 함께 점검해 두는 것을 고려해 볼 만합니다.
상황별 시나리오와 사칭 연락 구별법
아래는 이해를 돕기 위한 가정 사례입니다. 실제 사례가 아니라, 공개된 유출 항목을 바탕으로 일어날 수 있는 상황을 꾸며 본 것입니다.
시나리오 1: 같은 비밀번호를 여러 곳에 쓴 경우
예를 들어 2018년에 할리스 멤버십에 가입하면서 쓴 아이디와 비밀번호를 지금도 쇼핑몰 2곳과 포털 1곳에서 똑같이 쓰고 있다고 가정해 보겠습니다. 이 경우 할리스 비밀번호만 바꾸는 것으로는 부족합니다. 유출된 조합으로 쇼핑몰에 로그인되면 저장된 배송지나 결제 수단이 노출될 수 있기 때문입니다. 할리스를 포함해 4곳 모두 서로 다른 비밀번호로 바꾸고, 포털처럼 다른 서비스의 비밀번호 찾기에 쓰이는 계정에는 2단계 인증을 켜 두는 것이 우선입니다. 각 사이트의 로그인 기록 메뉴에서 낯선 기기나 지역의 접속이 있는지도 함께 확인합니다.
시나리오 2: "유출 피해 보상" 문자를 받은 경우
예를 들어 "할리스 개인정보 유출 피해 고객 보상금 신청 안내"라는 문자에 링크가 붙어 왔다고 가정해 보겠습니다. 문자에 내 이름까지 적혀 있으면 진짜처럼 느껴질 수 있습니다. 하지만 회사는 문자로 링크를 보내지 않는다고 밝혔고, 10월 19일 기준 보상 계획은 발표되지 않았습니다. 이런 문자는 링크를 누르지 말고 삭제한 뒤, 궁금한 점은 할리스 공식 홈페이지 고객센터로 직접 문의합니다. 이미 링크를 눌러 앱을 설치했거나 정보를 입력했다면 118(해킹·스팸·개인정보침해 상담)에 상담하고, 돈을 이체했다면 곧바로 112나 해당 금융회사에 지급정지를 요청해야 합니다.
유출 이후 연락, 진짜와 가짜 구별법
대규모 유출이 알려지면 이를 틈탄 사칭 연락이 늘어나는 경향이 있습니다. 회사가 직접 밝힌 원칙과 금융당국의 안내를 기준으로 구별하면 판단이 쉬워집니다. 공식 안내는 대체로 사실을 알리고 비밀번호 변경을 권하는 데서 그치지만, 사칭 연락은 링크 클릭이나 앱 설치, 정보 입력, 이체처럼 내가 무언가를 하도록 요구한다는 차이가 있습니다.
또 하나의 기준은 "내 정보를 알고 있다"는 사실이 신뢰의 근거가 될 수 없다는 점입니다. 이번 사고로 이름, 전화번호, 주소, 생년월일이 함께 유출됐기 때문에, 상대가 이런 정보를 정확히 말하더라도 공식 연락이라는 증거가 되지 않습니다. 금융당국도 개인정보를 알고 있다는 이유만으로 연락을 믿지 말라고 안내했습니다. 의심이 들면 대화를 끊고, 내가 직접 찾은 공식 번호로 다시 걸어 확인하는 습관이 가장 확실한 방어입니다.
체크리스트: 오늘 안에 점검할 것
- ☐ 2020년 2월 11일 이전 할리스 멤버십 가입 이력이 있는지 확인했다
- ☐ 할리스 공식 홈페이지 또는 앱에서 비밀번호를 바꿨다
- ☐ 같은 아이디·비밀번호를 쓰던 다른 사이트 비밀번호를 모두 바꿨다
- ☐ 이메일·포털 계정에 2단계 인증을 켰다
- ☐ 주요 계정의 최근 로그인 기록에서 낯선 접속이 없는지 봤다
- ☐ "보상", "피해 확인" 문구가 들어간 문자의 링크를 누르지 않고 삭제했다
- ☐ 휴대폰 사진첩·메모에 신분증 사본이나 비밀번호를 저장해 두지 않았다
- ☐ 피해가 의심되면 118, 금전 피해는 112·금융회사에 바로 연락한다는 것을 기억해 두었다
자주 묻는 질문
Q. 2020년 2월 이후에 가입했는데 비밀번호를 바꿔야 하나요?
회사가 안내한 대상은 2020년 2월 11일 이전 가입 회원이므로, 그 이후 처음 가입했다면 이번 공지 기준으로는 대상이 아닙니다. 다만 조사가 진행 중이고 규모도 추가 확인 중이라고 밝힌 만큼, 오래 바꾸지 않은 비밀번호라면 이번 기회에 바꿔 두어도 손해 볼 일은 없습니다.
Q. 피해 보상은 받을 수 있나요?
2026년 10월 19일 기준으로 회사가 보상 계획을 발표했다는 내용은 확인되지 않았습니다. 보상 관련 안내가 나오면 할리스 공식 홈페이지 공지사항에 게시될 가능성이 높으므로, 문자나 메신저로 오는 보상 안내보다 공식 공지를 먼저 확인하시기 바랍니다.
Q. 카드번호나 주민등록번호도 유출됐나요?
회사가 밝힌 9개 유출 항목에는 카드번호와 주민등록번호가 들어 있지 않습니다. 따라서 이번 사고만으로 카드를 재발급할 필요는 크지 않습니다. 다만 다른 사이트에서 같은 비밀번호를 쓰고 있었고 그 사이트에 결제 수단을 저장해 두었다면, 해당 계정의 비밀번호를 바꾸고 결제 내역을 확인하는 것이 좋습니다.
Q. 어디에 상담하거나 신고하면 되나요?
해킹·스팸·개인정보침해 관련 상담은 한국인터넷진흥원의 118로 할 수 있습니다. 보이스피싱 피해가 의심되면 경찰청 전기통신금융사기 통합대응단(1394)에서 상담받을 수 있고, 실제로 돈을 보냈다면 112나 해당 금융회사 콜센터에 즉시 지급정지를 요청해야 합니다.
정리
- 할리스는 2026년 10월 16일 유출을 확인해 공지했고, KISA 신고 기준 약 276만 건(중복 포함, 확인 중)입니다.
- 대상은 2020년 2월 11일 이전 가입 회원이며, 아이디·비밀번호·이름·전화번호·주소 등 9개 항목이 유출된 것으로 발표됐습니다.
- 가장 중요한 조치는 할리스와 같은 비밀번호를 쓰는 다른 계정까지 모두 바꾸는 것입니다.
- 유출 보상·피해 확인을 내세운 문자 링크는 누르지 말고, 공식 홈페이지와 118 등 공식 경로로만 확인합니다.
이전에 다룬 개인정보 유출 확인 방법｜털린 내 정보 찾기부터 금융거래 차단까지에서는 유출 여부 조회와 금융거래 차단 절차를 더 자세히 정리했고, 개인정보 과징금 매출액 10%｜9월 시행 내용과 점검 항목에서는 유출 사고가 난 기업에 적용되는 제재 기준을 다뤘습니다. 함께 보시면 이번 사고를 이해하는 데 도움이 됩니다.
참고 자료
'IT·AI 소식' 카테고리의 다른 글
| 챗GPT 크롬 확장 탭 제어 기능｜Work 설정법과 사이트 허용 4가지 (0) | 2026.10.20 |
|---|---|
| AI 에이전트 무단 접속 사고｜오픈AI 보고서와 인도 경보로 본 점검법 (0) | 2026.10.19 |
| 챗GPT 광고 맞춤 타깃 끄는 법｜이메일·전화번호 매칭 보도 정리 (0) | 2026.10.19 |
| 모두의 AI 언제부터 쓸 수 있나｜베타 시작과 12월 출시 정리 (0) | 2026.10.19 |
| 개인정보 유출 확인 방법｜털린 내 정보 찾기부터 금융거래 차단까지 (0) | 2026.09.28 |