[국내보안뉴스] 호텔스토리 해킹 사고 발생…숙소 계정 탈취로 카드정보까지 유출 위험
숙박 예약관리 솔루션 '호텔스토리'가 외부 해킹 공격을 받아 고객 개인정보와 예약 내역이 유출되는 보안 사고가 발생했습니다. 조사 결과, 지난 10월 26일 약 1시간 동안 불법적인 시스템 접근이 이뤄졌으며, 이는 서비스에 연결된 일부 제휴 숙소의 계정 정보가 외부에 노출되어 탈취당한 것이 직접적인 원인으로 파악됐습니다.
이번 사고의 영향 범위는 단순 예약 내역 유출에 그치지 않습니다. 일부 숙소 현장에서 관리 편의를 위해 시스템 메모란에 별도로 기재해 둔 신용카드 관련 정보까지 함께 유출된 것으로 확인됐습니다. 보안 체계를 우회한 비정식 데이터 관리 방식 때문에 이용자들의 2차 금융 피해는 물론, 예약 정보를 악용한 스미싱 및 보이스피싱 공격 위험이 매우 높아진 상태입니다.
피해를 최소화하기 위해 제휴 숙소 및 이용자의 신속한 대응이 필요합니다. 호텔스토리를 사용하는 모든 숙소 관리자는 즉시 계정 비밀번호를 복잡하게 변경하고, 시스템 내 메모란에 저장된 카드번호 등 민감 정보를 즉각 삭제해야 합니다. 아울러 일반 이용자들은 숙박 예약 및 결제 관련 문자 메시지나 전화 요청을 받을 경우, 공식 채널을 통해 사실 여부를 확인하는 등 각별한 주의가 요구됩니다.
♥ 추천 0
계정 탈취를 통한 침입을 막기 위해 파트너 어드민 시스템에 MFA(다중 요소 인증) 도입과 이상 징후 탐지(FDS) 적용이 시급해 보입니다. 특히 메모란에 카드 정보가 입력된 것은 심각한 구조적 문제로, 프론트/백엔드 단에서 카드번호 정규식 패터닝을 통한 입력 차단(DLP) 로직이 공백이었던 점이 아쉽습니다. 비구조화 텍스트 영역이라도 민감정보 자동 마스킹 및 암호화 파이프라인을 구축하고 PCI-DSS 기준에 맞춰 데이터 아키텍처를 재설계해야 합니다.
계정 탈취(ATO)를 통해 시스템 내부로 침투한 뒤 비암호화된 비정형 데이터(메모란)를 집중적으로 노린 공격 패턴으로 보입니다. 특히 보안 통제를 벗어난 자유 입력 필드에 카드 정보가 평문으로 저장되어 있었다면, 공격자는 별도의 복호화 과정 없이 즉시 파이낸셜 타겟팅 및 도용에 활용할 수 있습니다. 향후 유출된 상세 예약 정보를 빌미로 숙박객을 겨냥한 정교한 2차 스피어 피싱 공격이 거세질 가능성이 매우 높습니다.
이번 사고는 계정 관리 부실을 넘어, 시스템 내 ‘메모란’과 같은 비정형 영역에 결제 정보가 방치되는 데이터 거버넌스 부재의 위험성을 잘 보여줍니다.
2차 피해 방지를 위해 파트너 계정에 대한 강력한 다중인증(MFA) 적용은 물론, 텍스트 입력 필드 내 민감정보 유입을 감지하고 차단하는 기술적 통제(DLP)가 시급합니다.
외부 연동 플랫폼을 포함한 공급망 전체의 리스크 관리와 현장 운용 인력의 보안 수칙 준수 여부를 원점에서 재점검해야 합니다.