할리스 276만건 유출, 크립토재킹이 뚫은 클라우드

무슨 일이 있었나

커피 프랜차이즈 할리스가 자사가 사용하는 클라우드 서비스에 인가되지 않은 접근이 발생해 고객 개인정보가 유출됐다고 10월 19일 공식 입장을 냈다. 회사가 한국인터넷진흥원(KISA)에 신고한 규모는 약 276만 건으로, 중복 회원을 포함한 수치다.

유출된 데이터는 2009년부터 2020년 2월 11일까지 쌓인 누적 고객 정보로 추정되며, 할리스는 이를 과거 멤버십 서비스 개편용 임시 데이터 파일로 파악하고 있다고 밝혔다. 보도에 따르면 비밀번호와 주소 등 민감도가 높은 항목까지 포함된 것으로 전해졌다. 정확한 유출 범위는 아직 추가 확인 중이다.

가장 눈에 띄는 대목은 공격의 동기다. 할리스는 침입자가 고객 정보를 노렸다기보다 가상화폐 채굴 목적으로 클라우드 자원에 비정상 접근했고, 그 과정에서 개인정보가 함께 노출된 것으로 보고 있다.

왜 중요한가: '채굴용 서버 탈취'가 개인정보 사고로 번지는 구조

클라우드 계정을 탈취해 남의 컴퓨팅 자원으로 암호화폐를 채굴하는 공격을 흔히 크립토재킹(cryptojacking)이라 부른다. 공격자 입장에서 이 방식은 데이터를 훔쳐 파는 것보다 수익화 경로가 단순하다. 유출된 액세스 키나 설정이 느슨한 스토리지 하나만 있어도 즉시 연산 자원을 쓸 수 있기 때문이다.

문제는 침입 목적과 피해 범위가 일치하지 않는다는 점이다. 채굴을 노리고 들어온 공격자라도 일단 클라우드 환경 안에 들어오면 같은 권한으로 접근 가능한 저장소 전체가 노출 위험에 놓인다. 이번 사고에서 유출 대상이 운영 중인 현행 데이터베이스가 아니라 수년 전 시스템 개편 과정에서 만들어진 '임시 파일'이었다는 점이 이를 잘 보여준다.

비교: 반복되는 '지워야 했는데 남아 있던 파일'

국내외 개인정보 유출 사고에서 되풀이되는 패턴이 바로 이것이다. 정식 운영 시스템은 접근 통제와 암호화가 비교적 촘촘하지만, 마이그레이션·테스트·백업 과정에서 생성된 사본은 담당자가 바뀌면서 관리 목록에서 사라지는 경우가 많다. 할리스가 밝힌 시점이 2020년 2월에서 멈춰 있다는 사실 자체가, 그 파일이 6년 가까이 아무도 쓰지 않은 채 남아 있었을 가능성을 시사한다.

여기에 2009년부터의 누적 데이터라는 점도 문제를 키운다. 당시 가입한 회원 상당수는 이미 서비스를 이용하지 않거나 탈퇴했다고 믿고 있을 수 있는데, 개인정보 보호 관점에서 보존 기간이 지난 데이터는 파기 대상이다. 오래된 데이터일수록 비밀번호 저장 방식이 현재 기준에 못 미칠 가능성도 있다.

이용자 입장에서 지금 해야 할 일

할리스는 비정상 로그인 시도 모니터링을 강화하고, 개인정보 접근 권한과 인증 체계, 보안 시스템을 전면 점검하겠다고 밝혔다. 2차 피해 가능성도 계속 점검하겠다는 입장이다. 다만 기업의 사후 조치와 별개로 이용자가 직접 해야 할 일이 있다.

가장 급한 것은 비밀번호 재사용 차단이다. 과거 할리스 멤버십에 쓴 비밀번호를 이메일·포털·금융 서비스 등 다른 곳에서도 쓰고 있다면 즉시 변경해야 한다. 공격자들은 유출된 아이디·비밀번호 조합을 다른 사이트에 그대로 대입하는 크리덴셜 스터핑을 기본 수법으로 쓴다. 이메일·전화번호·주소가 함께 돌아다닐 경우 할리스를 사칭한 보상·쿠폰 안내 문자 같은 표적형 피싱이 뒤따를 수 있다는 점도 염두에 둘 필요가 있다.

업계가 가져갈 교훈

이번 사고는 클라우드 보안에서 가장 자주 지적되는 두 가지 기본을 다시 환기시킨다. 첫째, 권한 최소화다. 연산 자원에 접근하는 계정이 고객 데이터 저장소까지 함께 읽을 수 있다면 채굴 공격 하나가 곧바로 대형 유출로 전환된다. 둘째, 데이터 수명 주기 관리다. 더 이상 쓰지 않는 사본을 찾아 파기하는 작업은 눈에 띄는 성과가 없어 늘 후순위로 밀리지만, 존재하지 않는 데이터는 유출될 수도 없다는 것이 가장 확실한 방어다.