할리스도 개인정보 유출 “9월 3일부터 10월 7일까지 해킹 당해”

핵심 요약

할리스 커피 전문점에서 9월 3일부터 10월 7일까지 약 한 달간 멤버십 시스템에 대한 비인가 접근으로 인해 대규모 개인정보 유출 사고가 발생했습니다. 유출된 정보는 2020년 2월 11일 이전 가입 고객의 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일 등 민감한 개인 식별 정보였습니다. 이는 인증 및 식별 관리(OWASP A07:2021 – Identification and Authentication Failures)의 실패와 장기간의 비인가 접근 탐지 미흡으로 인해 발생한 것으로 추정됩니다. IT 감사인 및 CISO는 유사한 멤버십 시스템을 운영하는 조직의 경우, 인증 체계의 견고성, 비인가 접근 탐지 및 대응 능력, 그리고 개인정보 유출 사고 발생 시의 통지 절차 준수 여부를 즉시 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치멤버십 시스템을 포함한 모든 대외 서비스 시스템에 대해 최신 보안 패치를 적용하고, 웹 방화벽(WAF) 및 침입 방지 시스템(IPS)의 탐지 규칙을 최신 위협 정보에 기반하여 지속적으로 업데이트할 것을 권고함.
• ✔기술적 조치모든 이용자 비밀번호는 강력한 단방향 암호화(예: PBKDF2, bcrypt, scrypt) 및 솔트(Salt)를 적용하여 저장하고, 주기적인 비밀번호 변경 정책을 수립 및 시행할 것을 권고함.
• ✔기술적 조치비인가 접근 시도를 탐지하기 위한 이상 행위 탐지 시스템(UEBA) 또는 SIEM 솔루션을 도입하거나 기존 시스템의 탐지 규칙을 고도화하여, 장기간의 비인가 접근을 조기에 식별하고 차단할 수 있는 체계를 강화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 및 신고 절차를 개인정보 보호법 및 ISMS-P 기준에 맞춰 재정비하고, 사고 인지 후 72시간 이내 통지 의무를 준수하기 위한 비상 대응 계획(IRP)을 수립 및 주기적으로 훈련할 것을 권고함.
• ✔관리적 조치멤버십 시스템의 접근 제어 정책을 강화하고, 최소 권한 원칙을 적용하여 내부 직원의 개인정보 접근 권한을 엄격히 관리하며, 접근 기록에 대한 주기적인 감사를 시행할 것을 권고함.
• ✔관리적 조치개인정보보호 책임자(CPO)를 중심으로 개인정보보호 교육을 강화하고, 임직원들이 개인정보보호의 중요성을 인지하고 관련 법규 및 내부 정책을 준수하도록 지속적인 인식 제고 활동을 수행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기