1년간 일어난 개인정보 유출 정리 탈퇴했어도 내정보 유출한 할리스

최근 국내 주요 기업 및 금융 기관을 겨냥한 사이버 침해 사고가 연쇄적으로 발생하며 대규모 개인정보 유출 피해가 끊이지 않고 있습니다. 이동통신, e커머스, OTT 등 민간 플랫폼을 넘어 최상위 보안 수준을 유지해야 하는 금융권(은행)과 식음료 프랜차이즈에 이르기까지 산업 전반에 걸쳐 유출 대상과 공격 기법이 한층 고도화되는 양상입니다.

 

국내 주요 개인정보 유출 사고를 시간 순서대로 분석하고 가장 최근 밝혀진 할리스 멤버십 유출 사건 까지의  돌아보고자 합니다

 

 

 

[주요 굵직한 개인정보 유출 사건정리]

 

[2025년 4월/8월] SK텔레콤 USIM 및 고객 데이터 유출 (2,324만 건)
       ↓
[2025년 11월] 쿠팡 계정 정보 대규모 유출 (3,370만 건)
       ↓
[2026년 5월~6월] 티빙(TVING) 계정 유출 및 암호화키 탈취 (3,954만 건)
       ↓
[2026년 9월~10월] 주요 은행 및 금융사 16곳 연쇄 AI(ARTEX) 침해 사태
       ↓
[2026년 10월] 할리스 멤버십 276만 건 유출 (17년 전 탈퇴 회원 정보 방치)

 

 

 

 

[상세 유출 사건 정리]

 

① [2025년 4월/8월] SK텔레콤 유심(USIM) 및 고객 데이터 유출
사건 개요: 해커가 SK텔레콤 전산망 및 가입자 서버(HSS)에 침투하여 약 2,324만 명 규모의 가입자 정보와 유심 관련 데이터를 유출시켰다. (2025년 8월, 개인정보보호위원회로부터 약 1,348억 원의 역대 최고 과징금 부과).

분석: 국가 핵심 인프라인 이동통신사의 내부 서버 암호화 관리 미비와 접근 통제 허점이 드러난 사건으로, 대규모 유출 사태의 신호탄이 되었다.

 

 

 

 

 

② [2025년 11월] 쿠팡 3,370만 계정 대규모 유출
사건 개요: 국내 최대 e커머스 플랫폼 쿠팡에서 약 3,370만 개 계정의 고객 개인정보(이름, 전화번호, 주소, 주문 내역 등)가 무단 유출되었다.

분석: 유통 플랫폼은 마케팅 및 배송 목적으로 고객의 고기능 민감 데이터를 대량 보유하고 있어 해커의 최우선 표적이 된다. 초대형 플랫폼조차 유입 트래픽 검수 및 접근 권한 통제에 실패했음을 보여주었다.

 

 

 

https://youtu.be/2djZwuRb5K8?si=UJj4bNYVMBlGdyUe

 

③ [2026년 5월~6월] 티빙(TVING) 3,954만 계정 유출 및 암호화키 탈취
사건 개요: OTT 플랫폼 티빙에서 3,954만 건의 계정 정보와 핵심 소스코드가 유출되었다.

분석: 개발자의 내부 접속키 하드코딩 등 기본적 관리 미비와 함께, 전체 유출 건수의 약 44%(1,737만 건, 탈퇴 계정 887만 건)가 탈퇴·휴면 고객 정보로 확인되어 데이터 파기 의무 불이행의 폐해가 극명히 드러났다.

 

특히 CI 값이 유출되면서 기존에 유출되었던 개인정보를 탈취하면 특정 1인을 쉽게 특정지을 수 있는 최악의 사태였다.

 

 

 

 

④ [2026년 9월~10월] 주요 은행 및 금융사 16곳 연쇄 AI(ARTEX) 침해 사태

사건 개요: 신한은행, KB국민은행, 하나은행, BNK부산은행 등 16개 금융사를 대상으로 중국계 AI 자율 침투 프레임워크(ARTEX) 등을 활용한 자동화 침해 공격이 발생했다. 약 10만 건 이상의 대출 산출 한도, 이름, 연락처, 연계정보(DI) 등이 유출되었다.

분석:

공격자들은 AI 자동화 스크립트와 모바일 웹·영업지원 시스템(ODS)의 취약점(파라미터 변조 등)을 이용해 전통적인 방화벽과 보안 관제를 우회했다.

은행권의 금융 거래 핵심 DB는 방어했으나, 외부 연계 시스템이나 마케팅용 한도 조회 채널 등의 ‘외곽 접점 보안’이 무너지며 금융권 보안 체계의 허점을 노출시켰다.

 

 

 

 

⑤ [2026년 10월] 할리스 멤버십 개인정보 유출 및 탈퇴자 정보 방치
사건 개요: 카페 프랜차이즈 할리스에서 외부 공격자의 클라우드 비정상 접근(가상화폐 채굴 목적 추정)으로 인해 약 276만 건의 누적 고객 데이터(ID, 비밀번호, 이름, 생년월일, 연락처, 주소, DI 등)가 유출되었다.

핵심 문제점 (탈퇴 회원 정보 미파기):
유출된 데이터는 활성 DB가 아닌 2009년부터 2020년 2월 사이의 임시 테스트 파일이었다. 이 과정에서 이미 수년 전 탈퇴한 회원의 개인정보까지 삭제하지 않고 수년간 클라우드 구석에 방치해 두었다가 고스란히 유출된 사실이 제보를 통해 밝혀지며 강력한 법적 책임론이 대두되고 있다.

 

 

 

 

[탈퇴해도 안심할 수 없는 개인정보 어떻게 해야하는가]

 

최근 1년간의 흐름을 볼 때, 국내 기업과 금융기관들은 

수집은 과도하게, 보관은 무기한으로, 보안은 형식적으로 대응하고 있다는 구조적 결함이 나타난다.

 

'데이터 최소화' 및 탈퇴·휴면 정보의 즉각적인 완전 파기

티빙(탈퇴자 887만 명)과 할리스(17년 전 정보 방치) 사태에서 입증되었듯, 서비스 탈퇴나 목적 달성 시 DB 및 임시 파일 내 개인정보를 완전 삭제(Delete)하는 ‘자동화 파기 로직’을 법적으로 강제해야 한다.

 

테스트/임시 데이터 파일 및 암호화키 관리 엄격화

운영 DB만 보호하고 개발·테스트용 임시 파일이나 백업 데이터를 암호화하지 않은 채 남겨두는 불감증을 근절해야 한다.

 

AI 기반 침해 및 망 연계점 대응 (Zero Trust 도입)

최근 시중은행 연쇄 침해 사고처럼 AI 기반 자동화 공격 기법이 대중화된 만큼, 경계선 방어를 넘어 내부·외곽 접속 전체를 상시 검증하는 ‘제로 트러스트(Zero Trust)’ 보안 모델을 도입해야 한다.

 

 

 

 

"당신의 정보는 탈퇴해도 지워지지 않는다" — 방치된 데이터가 부른 재앙

오늘날 대한민국의 개인정보 관리는 ‘수집은 탐욕스럽게, 보관은 무책임하게, 보안은 형편없이’ 이루어지는 총체적 불감증에 빠져 있다. 통신사, e커머스, OTT, 금융권, 식음료 프랜차이즈에 이르기까지 내로라하는 기업들이 해커들의 놀이터로 전락한 본질적인 이유는 기술 부족이 아닌 ‘안일함’이다.

 

기업들은 마케팅과 데이터 자산이라는 미명 아래 소비자의 민감한 정보를 긁어모았지만, 정작 사용자가 떠난 뒤에도 17년 전 탈퇴 기록조차 서버 구석에 유기하고 방치했다. "탈퇴하면 지워진다"는 고객과의 약속은 기만이었으며, 암호화 키마저 코드에 적어두는 한심한 보안 수준이 수천만 명의 삶을 보이스피싱과 2차 범죄의 표적으로 몰아넣었다.

 

이제는 허울뿐인 사과문과 소액 과징금으로 때우는 솜방망이 처벌을 끝내야 한다. 데이터 수집 순간부터 파기까지 책임을 묻지 않는다면, 당신이 오늘 누른 '회원 탈퇴' 버튼은 10년 뒤 당신의 목을 죄는 시한폭탄으로 돌아올 것이다.