韩国零售业频发信息泄露：哈利斯276万条会员信息外泄

韩国零售业再度拉响安全警报。咖啡连锁品牌哈利斯确认会员系统遭未授权访问，向韩国互联网振兴院报告的个人信息泄露规模约276万条，涉及用户名、密码、姓名、地址、电话等内容。

这并非孤例。时尚平台29CM、运营CU便利店快递的BGF网络今年也先后发生客户信息泄露；海外方面，法国约700家超市的冷藏设备在10月11日至12日遭网络攻击，部分设备温度一度升至50度。

哈利斯泄露经过

哈利斯在16日确认会员系统遭到未授权访问，随后于18日晚向客户发送个别通知信息。公司向韩国互联网振兴院（KISA）报告后，泄露规模被确认为约276万条。

据哈利斯说明，异常访问发生在用于虚拟货币挖掘的会员信息云服务上。公司确认的泄露时间为上月3日至本月7日，也就是说攻击发生一个多月后才发现安全漏洞。

事故曝光后，客户通知方式受到批评。官网首页没有弹出告知个人信息泄露的提示或单独横幅，用户需自行查找公告才能确认相关内容；目前也没有提供查询自己信息是否实际泄露的单独流程。

此次外泄的数据为2009年至2020年2月11日的累计客户信息，包含重复会员。泄露内容包括用户名、密码、姓名、出生日期、电话号码、地址、电子邮件、重复注册确认信息（DI）及服务使用相关信息等。

从内容看，泄露字段覆盖账号凭证与身份、联系方式、居住地址等多类信息，属于可直接用于身份识别和账号登录的敏感数据。哈利斯方面已将上述情况向KISA报告。

时尚平台29CM在8月27日遭遇外部异常访问，导致订单信息查询接口（API）泄露。泄露信息包括13万8841条姓名，以及2万1011条包含姓名、电子邮件、手机号码和配送信息的记录，合计约16万条个人信息。

6月4日，运营CU便利店快递的BGF网络确认因外部黑客攻击导致姓名、地址、联系方式等客户信息泄露。

更早之前，GS零售、BYN黑雅克、阿迪达斯韩国、迪奥、蒂芙尼、卡地亚、Mustit、路易威登、Coupang等也发生过客户信息泄露事件。自去年底Coupang大规模泄露以来，韩国零售业信息外泄事件持续出现。

据报道，攻击目标是多家商店冷藏设备的远程管理系统和控制装置，而非冷藏柜本身。这一情况显示，联网的远程管理环节同样可能成为入侵入口。

业界对网络攻击高度敏感，原因在于零售企业持有的信息范围广泛。企业通过应用程序、在线商店和会员系统管理姓名、联系方式、地址，以及购买历史和订单、配送信息；随着在线商店、线下门店与物流系统紧密连接，攻击点也随之增多。

部分企业已开始调整安全体系。SSG.com正在加强自动化攻击和异常访问检测系统，LF提升勒索软件防护、个人信息加密和访问权限管理，星巴克加强了对攻击IP和基于机器人登录尝试的监控，CJ第一制糖则在推进客户信息加密和外部模拟黑客攻击等工作。

高丽大学信息安全研究生院教授任钟仁表示，利用AI可以更轻松地发现以往未被注意的漏洞，攻击也能迅速实现自动化。他指出，像零售和物流这样相对安全薄弱的领域，不仅客户信息，连商店和物流系统都可能成为攻击目标，因此必须加强利用AI进行的漏洞检查和主动防御体系。