📌 결론부터: 비밀번호부터 바꾸고, 배상은 ‘유출 항목’이 관건
- 규모: 약 276만 건(중복 포함 누적), 2009년~2020.2.11 멤버십 데이터
- 항목: 아이디·비밀번호·이름·생년월일·전화번호·주소·이메일·중복가입확인정보(DI)·이용정보
- 지금 할 일: ① 같은 비밀번호 쓰는 계정 변경 ② 할리스 사칭 문자·전화 무시 ③ 털린 내 정보 찾기로 확인
- 배상: 아직 보상안 없음. 판례상 1인당 10만원 인정 사례 vs 배상 부정 사례(2025.12)
할리스 개인정보 유출 사실이 2026년 10월 16일 공개됐습니다. 회사 설명에 따르면 가상화폐 채굴을 노린 외부 공격자가 멤버십 정보를 쓰는 클라우드에 들어왔고, 그 과정에서 과거 멤버십 개편 때 만든 임시 데이터 파일이 빠져나갔습니다. 회사는 같은 날 홈페이지에 공지하고 이틀 뒤인 10월 18일에 고객 문자를 보냈습니다. 이 글은 사건 내용과 지금 해야 할 일, 그리고 판례로 본 손해배상 가능성을 순서대로 정리했습니다.
함께 보면 도움이 되는 글입니다.
목차
할리스 개인정보 유출, 무엇이 언제 나갔나
| 항목 | 내용 (2026.10.19 보도 기준) |
|---|---|
| 유출 시점 | 2026년 9월 3일 ~ 10월 7일 사이 |
| 인지·공지 | 10월 16일 확인·홈페이지 공지, KISA 등 관계 기관 신고 |
| 고객 통지 | 10월 18일 문자 |
| 규모 | 약 276만 건(중복 회원 포함 누적, 정확한 인원은 확인 중) |
| 대상 데이터 | 2009년 ~ 2020년 2월 11일 멤버십 데이터(현재 운영 DB는 아니라고 설명) |
| 유출 항목 | 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, DI, 서비스 이용정보 |
| 원인 | 가상화폐 채굴 목적의 비정상 클라우드 접근 → 임시 데이터 파일 유출 |
| 2차 피해 | 실제 악용 여부는 확인되지 않음 |
출처: 이투데이·ZDNet·파이낸셜뉴스(2026.10.19). 조사가 진행 중이라 규모·경위는 바뀔 수 있습니다.
지금 바로 할 일 3가지
- 비밀번호 변경: 할리스 계정과 같은 비밀번호를 쓰는 다른 사이트(포털·쇼핑·카드사 앱)부터 바꾸세요. 아이디·비밀번호가 같이 나가면 다른 사이트 로그인 시도에 쓰일 수 있습니다.
- 사칭 연락 무시: 이름·전화번호·주소가 같이 나가 ‘할리스 보상’, ‘택배 주소 확인’처럼 그럴듯한 문자가 올 수 있습니다. 문자 속 링크는 누르지 말고 공식 홈페이지로 직접 확인하세요.
- 유출 확인: 개인정보보호위원회·KISA의 ‘털린 내 정보 찾기’에서 내 계정이 다른 유출에 노출됐는지 확인하고, 명의도용이 걱정되면 휴대폰 가입제한(엠세이퍼)도 걸어 두세요.
탈퇴한 사람에게도 문자가 왔다면
이번 사건에서 눈여겨볼 대목은 오래전에 탈퇴한 사람에게도 유출 안내 문자가 갔다는 보도입니다. 탈퇴 회원 정보가 실제 유출 데이터에 들어갔는지는 아직 확인되지 않았지만, 만약 들어갔다면 문제는 하나 더 생깁니다. 「개인정보 보호법」 제21조는 처리 목적을 달성해 필요 없어진 개인정보를 지체 없이 파기하도록 하고, 다른 법령 때문에 보존해야 하면 다른 정보와 분리해 보관하도록 정하고 있습니다.
2020년 2월 이전 데이터가 ‘임시 파일’로 남아 있다가 유출됐다는 회사 설명도 같은 맥락에서 따져볼 부분입니다. 개인정보보호위원회 조사에서 파기·분리 보관 의무 위반이 인정되면, 나중에 손해배상을 청구할 때 회사의 과실을 뒷받침하는 사정이 될 수 있습니다.
손해배상 받을 수 있을까: 판례로 보면
⚖️ 대법원 2018다219352 (2018.10.25. KB국민카드 유출) — ⭕ 1인당 위자료 10만원
- 카드사 외주 직원이 고객정보를 빼돌린 사건
- 유출 정보가 개인 식별·신용과 밀접하고 제3자 열람 가능성이 커 정신적 손해 인정
- 원심이 정한 1인당 위자료 10만원을 대법원이 그대로 확정
⚖️ 대법원 2023다311184 (2025.12.4. 법정손해배상) — △ 법정손해배상 기준 정리, 이 사건은 배상 부정
- 법정손해배상은 ‘유출됐다는 사실’만 증명하면 되고 손해를 구체적으로 증명할 필요는 없음
- 다만 회사가 ‘정신적 손해가 없다’는 걸 증명하면 책임을 면할 수 있음
- 이 사건은 유출된 것이 암호화된 비밀번호와 이메일뿐이라 배상 부정
두 판결을 할리스에 대 보면, 이번에는 이름·생년월일·전화번호·주소까지 함께 나갔다는 점에서 2025년 사건보다 식별 가능성이 큽니다. 다만 비밀번호가 암호화돼 있었는지, 실제로 악용됐는지는 아직 밝혀지지 않았습니다. 배상 금액보다 중요한 건, 2차 피해가 생기면 문자·통화 기록 같은 증거를 남겨 두는 것입니다.
배상 청구하는 3가지 길
| 방법 | 비용·기간 | 특징 |
|---|---|---|
| 회사 자율 보상 | 없음 | 보상안 발표를 기다림. 받으면 추가 청구가 제한될 수 있어 조건 확인 |
| 개인정보 분쟁조정 | 무료, 집단분쟁조정은 공고 후 60일 이내 원칙 | 피해자가 많으면 집단분쟁조정(제49조). 조정안을 회사가 거부할 수 있음 |
| 민사소송 | 인지대·변호사 비용 | 법정손해배상(300만원 이하)·일반 손해배상. 집단소송 모집 광고는 조건을 꼼꼼히 |
근거: 「개인정보 보호법」 제39조·제39조의2·제49조(2026.9.11 시행본).
🔄 지금 기준(2026년 10월)으로 보면
- 2026년 10월 22일 현재 할리스의 보상안, 개인정보보호위원회 조사 결과는 발표 전입니다. 발표되면 이 글을 고쳐 반영하겠습니다.
- 2026년 3월 개정된 「개인정보 보호법」은 유출 통지에 손해배상·법정손해배상·분쟁조정 같은 피해자의 법적 권리 안내까지 담도록 했습니다(제34조①6). 받은 문자에 이런 안내가 있었는지 확인해 두세요.
- 고의·중과실로 유출돼 손해가 생기면 법원은 손해액의 5배까지 배상액을 정할 수 있습니다(제39조③).
비슷한 대규모 유출 때 나온 배상 안내는 쿠팡 10만원 배상금 정리에서, 사칭 문자 구별법은 기관 사칭 문자 구별법에서 함께 보세요.
자주 묻는 질문
Q. 할리스 회원이었는데 문자를 못 받았어요. 저도 유출됐나요?
유출 대상은 2009년부터 2020년 2월 11일까지 쌓인 멤버십 데이터로 알려졌습니다. 그 사이 가입한 적이 있다면 문자를 못 받았더라도 할리스 고객센터에 유출 대상인지 확인을 요청하고, 같은 비밀번호를 쓰는 다른 계정부터 바꿔 두는 것이 안전합니다.
Q. 할리스에서 보상해 주나요?
2026년 10월 22일 현재 회사가 보상안을 발표했다는 보도는 없습니다. 보상안이 나오지 않으면 개인정보 분쟁조정위원회에 조정을 신청하거나 소송으로 청구할 수 있고, 피해자가 많은 사건은 집단분쟁조정이 열리기도 합니다.
Q. 손해배상을 청구하면 얼마나 받을 수 있나요?
법정손해배상은 300만원 이하에서 법원이 정하지만, 지금까지 대법원이 인정한 사례는 카드사 유출에서 1인당 10만원 수준이었습니다. 반대로 비밀번호가 암호화돼 있고 추가 피해가 없던 사건에서는 배상이 부정된 판결(2025년 12월)도 있어, 유출된 항목과 2차 피해 여부가 결과를 가릅니다.
📚 확인한 자료 (2026년 10월 22일 기준)
- 「개인정보 보호법」 제34조(유출 통지·신고, 통지에 담을 사항(손해배상·분쟁조정 안내 포함)) — 2026.9.11 시행본
- 「개인정보 보호법」 제21조(불필요해진 개인정보의 지체 없는 파기) — 2026.9.11 시행본
- 「개인정보 보호법」 제39조의2(법정손해배상 300만원 이하) — 2026.9.11 시행본
- 털린 내 정보 찾기 서비스(개인정보보호위원회·KISA) — 내 계정 유출 여부 확인
- 개인정보 분쟁조정위원회 — 분쟁조정·집단분쟁조정 신청
- 대법원 2018다219352 (2018.10.25. KB국민카드 유출) 결정문 원문
- 대법원 2023다311184 (2025.12.4. 법정손해배상) 결정문 원문
※ 이 글은 2026년 10월 22일 기준 법령·공식 안내를 읽고 정리한 일반 정보이며, 법률 자문이 아닙니다. 개인 상황에 따라 결과가 달라질 수 있으니 신고·계약 전에는 담당 기관이나 전문가에게 확인하세요. 개별 상담은 댓글로 답하지 않습니다.