“탈퇴했는데 내 정보가 왜 거기서 나와”…잊힌 ‘유령 파일’이 뚫렸다

할리스, 멤버십 개편용 임시 데이터 파일 유출…중복 포함 276만 건 피해 신고 쿠팡도 탈퇴 회원 정보 수백만 건 파기 안 해…방치된 ‘섀도 데이터’가 해킹 표적 전문가들 “필요 없는 주소·개인정보 수집 자제하고 용도 지난 정보는 파기해야” ⓒ뉴시스 커피 프랜차이즈 할리스에서 과거 멤버십 개편용으로 만든 임시 데이터 파일이 유출됐다. 개인정보의 수집부터 보관, 파기까지 전 과정에 걸친 관리 소홀 문제가 또다시 수면 위로 올랐다.앞서 쿠팡 유출 사고에서도 탈퇴한 회원의 정보를 제때 파기하지 않고 남겨둔 사실이 드러난 바 있다. 해킹을 막는 기술 보안도 중요하지만 불필요한 개인정보를 제때 지우는 관리가 더 중요하다는 지적이 나온다.20일 할리스에 따르면 회사는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에서 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다.할리스가 한국인터넷진흥원(KISA)에 신고한 규모는 중복 회원을 포함해 약 276만건이다. 회사는 2009년부터 2020년 2월11일까지 누적된 고객 데이터로 추정하고 있다.할리스는 유출 자료가 현재 운영 중인 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일인 것으로 파악하고 있다. 유출 항목에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등이 포함됐다.◆탈퇴해도 남은 정보, 개편하려 만든 파일…유출 위험은 계속이번 사고는 운영 DB 외에 별도로 제공한 고객정보도 보호 대상이라는 점을 보여준다. 서비스 개편 등을 위해 데이터를 추출하더라도 실제 고객정보가 담겼다면 보관 위치와 접근 권한을 관리하고 사용 목적이 끝났을 때 사본까지 정리됐는지 확인할 필요가 있다.곽진 아주대 사이버보안학과 교수는 이번 할리스 사고를 두고 “개인정보는 원본뿐 아니라 사본과 출력물까지 보호해야 한다”며 “보관기간을 지켰는지, 기간이 지난 정보를 제대로 파기했는지 점검해야 한다”고 말했다.개인정보를 보관하고 파기하는 과정의 관리 문제는 앞선 대규모 유출 사고 조사에서도 확인됐다.쿠팡 내부 규정에 따르면 회원정보는 탈퇴 후 90일이 지나면 주소와 계좌번호는 탈퇴 즉시 파기해야 했다. 하지만 탈퇴 회원이 등록한 이름·전화번호·주소 등 배송지 정보 246만5592건을 파기하지 않았고 이 중 일부가 유출됐다. 계좌번호 31만8499건도 즉시 파기하지 않은 사실이 확인...