[국내보안뉴스] 파르나스 호텔 멤버십 정보 유출… 예약 내역 악용한 2차 피해 주의
· 2026-10-01 13:00
· 조회 21
· 원문 ↗
파르나스호텔앤리조트의 통합 멤버십 서비스인 ‘파르나스 리워즈’에서 외부 제3자의 불법적인 접근으로 인한 개인정보 유출 사고가 발생했습니다. 호텔 측에 따르면 지난 9월 24일부터 25일까지 권한이 없는 제3자가 시스템에 침입해 회원들의 개인정보 일부에 접근한 것으로 확인되었으며, 현재 관계 당국과 함께 정확한 침입 경위와 유출 규모를 조사하고 있습니다.
이번 사고로 회원들의 기본 개인정보는 물론 세부적인 호텔 예약 정보까지 유출된 것으로 파악됩니다. 이에 따라 유출된 실제 예약 내역을 제시하며 호텔 직원을 사칭해 추가 결제를 요구하거나 피싱 사이트로 유도하는 등 2차 금융 피해로 이어질 위험이 매우 높은 상황입니다.
이용자들은 호텔을 사칭하여 발송된 추가 결제 요청이나 예약 확인 관련 메시지를 받을 경우, 메시지 내 링크(URL)를 절대 클릭하지 말고 반드시 공식 고객센터를 통해 사실 여부를 확인해야 합니다. 파르나스호텔 측은 안내문 및 사과문을 통해 사칭 메시지에 대한 주의를 당부하는 한편, 재발 방지를 위한 시스템 보안 강화 조치에 나섰다고 밝혔습니다.
♥ 추천 0
예약 데이터까지 정밀하게 노출된 것은 단순 계정 도용을 넘어 API 권한 검증 미흡(BOLA)이나 DB 접근 제어 정책의 구멍일 가능성이 큽니다. 민감한 예약 내역은 필드 단위 암호화(Field-level Encryption)를 적용하고, 데이터 조회 API에는 최소 권한 원칙과 Rate Limiting을 엄격히 강제해야 합니다. 나아가 예약 정보 기반의 사칭 결제 피싱을 방지하려면 외부 문자 메시지 의존도를 줄이고, 앱 내 위변조가 불가능한 보안 메시징 아키텍처로 전환하는 보완 조치가 시급합니다.
외부 권한 무단 접근은 인증 체계 우회나 API 허점을 노린 자격 증명 대입(Credential Stuffing) 또는 DB 직접 침투 공격일 가능성이 높습니다. 특히 단순 인적 사항을 넘어 '투숙 일자 및 예약 상세'가 유출된 점은 공격자에게 타깃 맞춤형 스피어 피싱(Spear Phishing)의 최적화된 무기를 쥐어준 꼴입니다. 실시간 정황 정보가 결합된 2차 사칭 공격은 사용자의 경계심을 쉽게 무력화하므로 추가적인 계정 탈취나 금융 사기로의 악용 가능성이 매우 높습니다.
예약 정보와 같은 맥락성 데이터의 유출은 단순 신상정보 유출을 넘어 호텔 사칭 및 결제 유도 등 치명적인 2차 사회공학적 공격으로 직결됩니다. 기업 CISO로서 이는 대고객 멤버십 시스템에 대한 엄격한 접근 제어와 실시간 이상 징후 탐지 체계가 왜 필수적인지 보여주는 경각심 높은 사례입니다. 우리 조직 역시 고객 데이터의 최소 수집 및 암호화 정책을 즉각 재점검하고, 2차 피해 방지를 위한 위기 대응 및 고객 소통 거버넌스를 고도화해야 합니다.