놀유니버스, 숙소 예약내역까지 털렸다…통합 뒤 남은 개인정보 유출 사과

[경제일보] 놀유니버스에서 고객의 국내 숙소 예약내역과 임직원 개인정보가 유출됐다. 이름과 연락처에 예약 상품, 구매금액, 이용 일자까지 포함돼 고객센터나 숙박업소를 사칭한 연락에 악용될 우려가 있다. 여행·여가 서비스를 ‘놀(NOL)’로 통합한 이후에도 과거 서비스의 개인정보 조회 기능을 어떻게 보호했는지가 조사 과제로 떠올랐다.

놀유니버스는 26일 외부 공격자가 지난 22일 시스템의 보안 취약점을 이용해 구 인터파크투어 국내 숙소 예약자 정보 조회 기능에 비정상적으로 접근했다고 밝혔다.

유출 대상은 예약일 기준 올해 2월 15일부터 9월 8일까지 구 인터파크투어에서 국내 숙소를 예약한 고객이다. 이는 유출된 자료의 대상 기간이며, 해당 기간 내내 침입이 이어졌다는 의미는 아니다.

유출 항목은 회원ID·회원번호, 예약자명·이용자명, 전화번호·이메일주소, 상품명·구매금액·이용 일자다. 회사는 인터파크투어 항공·해외숙소·투어·티켓 예약과 NOL 서비스 예약은 이번 유출 대상에 포함되지 않았다고 설명했다.

이번 사고는 연락처 유출을 넘어 거래 맥락까지 노출됐다는 점에서 위험이 크다. 공격자가 실제 예약 상품과 금액을 제시하며 환불이나 추가 결제를 요구하면 고객은 정상 안내로 오인할 수 있다. 예약자와 실제 이용자가 다른 경우 양측의 정보가 각각 얼마나 유출됐는지도 확인해야 한다.

회사에는 서비스 통합 이후의 보안 관리 책임도 남는다. NOL 인터파크투어는 지난 9월 8일 서비스를 종료하고 NOL로 통합됐다. 개발자가 게시한 앱 안내에도 숙소·항공·공연 예약 등을 하나의 앱으로 모은다고 명시돼 있다.

서비스 종료와 기존 거래정보의 보호 의무는 별개다. 예약 확인과 취소·환불 등을 위해 정보를 보관하더라도 누가 어떤 경로로 조회할 수 있는지 제한해야 한다. 이번 공격이 통합 과정 때문에 발생했다고 확인된 것은 아니다. 기존 조회 기능의 접근권한과 외부 노출 범위를 통합 전후에 어떻게 점검했는지가 핵심이다.
 
임직원 정보 침해도 앞서 공지됐다. 회사는 지난 19일 외부 공격자가 일부 임직원 정보 조회 기능에 접근했으며 이름·전화번호·회사 이메일·사번과 암호화된 내부 시스템 접속용 비밀번호가 유출됐다고 밝혔다.

두 침해가 같은 취약점이나 공격자에 의해 발생했는지는 알려지진 않았다. 임직원 정보 침해를 파악한 뒤 다른 조회 기능까지 점검했는지, 고객정보 접근을 언제 탐지하고 차단했는지 설명이 필요하다. 암호화된 비밀번호에 대해서도 보호 방식과 초기화 여부, 기존 로그인 세션 차단 등 후속 조치를 확인해야 한다.

놀유니버스는 공격 경로를 차단하고 취약점을 보완했으며 비정상 접근 탐지·차단 체계를 강화했다고 밝혔다. 한국인터넷진흥원(KISA)에 기술 지원도 신청했다. 회사 관계자는 침해 경로와 범위를 조사하고 관계기관에 협조하면서 조사 결과를 토대로 보안 체계를 강화하겠다고 말했다.

한편 현재 공개된 내용만으로는 피해 인원과 예약 건수, 공격자가 접근한 전체 정보 범위를 알기 어렵다. 회사는 고객별 유출 항목과 피해 확인 방법, 문의·구제 절차를 구체적으로 안내해야 한다. 고객에게 의심스러운 연락을 조심하라고 당부하는 것과 함께, 예약 사실을 알고 접근하는 사칭 연락을 어떻게 구별할지도 설명할 필요가 있다.