할리스, 비밀번호 포함 멤버십 개인정보 유출

핵심 요약

커피전문점 할리스에서 멤버십 시스템에 대한 인가되지 않은 접근으로 고객의 아이디, 비밀번호, 주소, 중복가입확인정보(DI)를 포함한 개인정보 유출 사고가 발생했습니다. 이번 사고는 비밀번호 보호 방식의 미흡과 회원정보 관리 실태의 부실이 근본 원인으로 지목되며, 사고 인지 후 통지까지의 지연 가능성도 제기되었습니다. IT 감사인은 이러한 침해사고를 통해 조직의 인증 및 식별 통제(OWASP A07:2021 – Identification and Authentication Failures)와 개인정보 보호 조치 전반에 대한 점검이 시급함을 인지하고, 유사 사고 방지를 위한 선제적 감사 활동을 수행해야 함을 권고합니다.

개선 권고안

• ✔기술적 조치이용자 비밀번호는 Salt를 적용한 강력한 단방향 해시 함수(예: PBKDF2, bcrypt, Argon2id)를 사용하여 암호화하고, 저장된 비밀번호는 어떠한 경우에도 조회할 수 없도록 시스템을 구현 및 운영해야 함을 권고함.
• ✔기술적 조치멤버십 시스템 등 개인정보처리시스템에 대한 인가되지 않은 접근 시도를 탐지하고 차단하기 위해 웹 방화벽(WAF), 침입 방지 시스템(IPS) 등의 보안 솔루션을 도입하고, SIEM을 통해 관련 로그를 실시간으로 모니터링하며 이상 징후 발생 시 즉각적인 대응 체계를 구축해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 개인정보 보호법 제34조 및 ISMS-P 3.5.4 등 관련 법규에 따라 정보주체 및 관계 기관에 지체 없이 통지 및 신고할 수 있도록 명확한 절차를 수립하고, 비상 연락망 및 책임자를 지정하여 주기적으로 훈련을 시행할 것을 권고함.
• ✔관리적 조치중복가입확인정보(DI)와 같은 민감 개인정보를 포함한 모든 개인정보의 수집, 저장, 이용, 파기 등 전 생애주기에 걸쳐 개인정보 영향평가(PIA)를 수행하고, 안전성 확보 조치 이행 여부를 정기적으로 점검하며 미흡 사항에 대한 개선 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 개인정보 보호 및 보안 의식 강화를 위한 정기적인 교육을 실시하고, 특히 비밀번호 관리의 중요성 및 안전한 비밀번호 사용 방법에 대한 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기