할리스 고객정보 유출과 침해사고 신고 지연 쟁점

할리스에서 유출된 정보에는 고객 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일이 포함됐습니다. 중복가입확인정보(DI)와 서비스 이용 관련 정보도 유출 항목에 들어갔습니다. 계정에 접속할 때 쓰는 정보와 고객의 연락처·주소가 함께 포함된 사고이며, 할리스는 고객에게 비밀번호 변경을 요청했습니다.

한국인터넷진흥원(KISA)에 신고된 유출 규모는 중복 회원을 포함해 약 276만 건으로 전해졌습니다. 이는 피해 고객이 276만 명으로 확정됐다는 뜻이 아니며, 정확한 유출 규모는 추가로 확인하고 있습니다. 구체적인 피해 회원 수와 유출 정보가 외부에서 다시 악용됐는지는 공개되지 않았다는 보도가 나왔습니다.

할리스는 9월 3일부터 10월 7일 사이 외부 해킹 공격으로 정보가 빠져나간 것으로 보고 있습니다. 두 날짜는 회사가 파악한 정보 유출 기간이며, 고객정보가 처음 쌓인 시기를 뜻하지 않습니다. 유출 대상에는 비밀번호까지 포함됐지만, 실제로 다른 서비스의 계정에 접근하는 데 쓰였다는 사실까지 확인된 것은 아닙니다.

피해 대상은 2020년 2월 11일 이전 할리스 멤버십 가입 고객으로 전해졌습니다. 유출된 정보가 2009년부터 2020년 2월 11일 사이 누적된 고객정보로 추정된다는 보도도 나왔습니다. 따라서 2026년의 해킹 발생 기간과 과거 고객정보의 누적 기간은 서로 다른 기준이며, 현재 회원 전체가 같은 범위로 피해를 봤다고 단정할 수는 없습니다.

침해사고 신고 시점도 별도 쟁점입니다. 이주희 더불어민주당 의원실이 KISA에서 받은 답변과 신고서 내용을 종합하면, 운영사 케이지에프앤비가 사고를 인지한 뒤 신고하기까지 29시간49분이 걸렸다는 보도가 나왔습니다. 신고서에 적힌 인지 시각은 10월 15일 낮 12시52분이고 접수 시각은 10월 16일 오후 6시41분25초여서, 법정 신고 기한인 24시간을 넘겼다는 내용입니다.