[보안 이슈] 할리스 멤버십이 뚫렸습니다 — 비밀번호에 집주소까지, 왜 오늘 안에 바꿔야 하는지

• 아이디 + 비밀번호: 이번 사건의 핵심입니다. 공격자가 이 조합을 네이버·쿠팡·은행 앱에 하나씩 넣어보는 ‘크리덴셜 스터핑(credential stuffing)’이 가능합니다. 사람이 일일이 넣는 게 아니라 프로그램이 초당 수백 건씩 자동으로 대입하기 때문에, 같은 조합을 쓰는 사이트가 하나라도 있으면 몇 분 안에 발견됩니다. 즉 다른 사이트에서도 같은 아이디·비밀번호를 쓰고 있다면 그 계정들까지 연쇄로 뚫릴 수 있다는 뜻입니다.
• 주소 + 이름 + 전화번호: 이 셋이 묶이면 “할리스 고객님, ○○동 주문 확인 전화입니다” 같은 맞춤형 보이스피싱·택배 사칭 문자의 재료가 됩니다. 내 실제 주소와 이름을 정확히 말하는 문자라 “진짜 할리스가 보냈나 보다” 하고 평소보다 경계가 풀리기 쉽습니다. 생년월일까지 더해지면 본인 확인을 사칭하기에 더없이 좋은 재료가 됩니다.
• 중복가입확인정보: 한 사람이 한 사이트에 계정을 여러 개 만들지 못하게 쓰는 식별값으로, 주민번호를 직접 노출하지 않으려고 만든 대체값입니다. 유출되면 내 명의로 몰래 다른 서비스에 계정이 만들어지는 데 악용될 수 있습니다.

1. 할리스 비밀번호를 바로 바꾸세요. 더 중요한 건 다른 사이트에서 같은 아이디·비밀번호를 쓰고 있었다면 그것부터 전부 바꾸는 겁니다. 메일·은행·쇼핑처럼 돈과 연결된 계정이 1순위이고, 사이트마다 다른 비밀번호를 쓰는 게 핵심입니다. 바꿀 때는 ‘hollys1234’처럼 서비스명이 들어간 변형은 피하세요. 공격자가 가장 먼저 시도하는 패턴입니다. 외우기 어렵다면 브라우저나 운영체제에 내장된 비밀번호 관리 기능을 써서 사이트마다 다른 무작위 조합을 저장해 두는 방법이 가장 현실적입니다.

3. 명의도용이 걱정되면 엠세이퍼(msafer.or.kr)에 가입제한을 걸어두세요. 한국정보통신진흥협회가 운영하는 무료 서비스로, 내 명의로 새 휴대폰이 개통되는 걸 막아주는 ‘공짜 잠금장치’입니다. DI가 유출된 이번 사건에선 특히 유용합니다. 비용을 요구하면 가짜 사이트이니 주의하세요.

💡 dailybetter 분석가 Note

이번 사건의 교훈은 “비밀번호 하나를 여러 곳에 돌려쓰는 습관”의 대가입니다. 할리스 하나가 뚫린 게 문제가 아니라, 그 비밀번호를 공유하던 내 모든 계정이 동시에 위험해진다는 게 본질입니다. 예를 들어 같은 비밀번호를 메일·쇼핑·SNS 세 곳에 썼다면, 할리스 유출 하나로 세 곳이 동시에 열린 문이 됩니다. 반대로 사이트마다 비밀번호가 달랐다면 피해는 할리스 한 곳에서 멈춥니다.

이번 기회에 돈·신원과 연결된 핵심 계정만이라도 서로 다른 비밀번호 + 2단계 인증으로 분리해 두세요. 2단계 인증을 걸어두면 비밀번호가 뚫려도 휴대폰 인증이라는 문이 하나 더 남습니다. 유출은 내가 막을 수 없지만, 유출된 정보가 얼마나 번지는지는 이 분리 습관이 결정합니다.