놀유니버스, 국내 숙박 예약자 개인정보 털렸다…데이터 유출 확인

구 인터파크투어 개인정보 유출
이름과 투숙 일정 등 9개 항목
국내 대표 플랫폼 보안 체계 구멍

놀유니버스 홈페이지 공지

[헤럴드경제=김명상 기자] 놀유니버스가 운영하는 구 인터파크투어에서 약 7개월간 이뤄진 국내 숙소 예약 건의 고객 개인정보가 유출된 것으로 확인됐다. 예약자의 이름과 연락처뿐 아니라 예약 상품과 구매금액, 이용일자도 유출 항목에 포함됐다.

26일 놀유니버스가 공식 홈페이지에 게시한 ‘침해사고 발생에 따른 개인정보 유출 사실 안내’ 공지에 따르면 구 인터파크투어 고객 정보 유출 사고는 지난 22일 오전 2시 5분 발생했다.

외부 공격자가 놀유니버스 시스템의 보안 취약점을 이용해 구 인터파크투어 국내숙소 예약자 정보 조회 기능에 비정상적으로 접근했다는 설명이다.

유출 대상은 예약일 기준 올해 2월 15일부터 9월 8일까지의 국내숙소 예약 건이다. 다만 인터파크투어의 항공·해외숙소·투어·티켓 예약과 놀 서비스 예약은 이번 유출 대상에 포함되지 않았다.

유출된 항목은 회원ID와 회원번호, 예약자명, 이용자명, 전화번호, 이메일주소, 상품명, 구매금액, 이용일자 등 9개다. 해당 예약자들의 피해 인원과 유출된 예약 건수는 공개되지 않았다.

놀유니버스는 보안 취약점 개선을 위해 ‘구 놀(NOL) 인터파크 예약 내역’의 숙소 메뉴에서 10월 23일 이전 예약내역 조회 서비스를 일시 중단했다.

회사는 공지문을 통해 “사고를 인지한 즉시 공격에 쓰인 접근 경로를 차단하고 취약점을 보완했으며, 이상 접근 탐지 체계를 강화하고 추가 피해 방지를 위해 한국인터넷진흥원에 기술 지원을 신청했다”고 밝혔다. 아울러 “유출 피해를 본 이용자는 개인정보 보호법에 따라 민사상 손해배상이나 법정손해배상을 청구할 수 있고, 개인정보 분쟁조정위원회와 개인정보침해 신고센터를 통해 구제 절차를 밟을 수 있다”고 안내했다.

한편, 놀유니버스는 이번 대규모 예약 정보 유출에 앞서 불과 며칠 전인 지난 19일에도 외부 공격을 받아 이용자 2명과 일부 임직원, 협력사 관계자의 개인정보가 유출됐다고 밝힌 바 있다. 당시 유출된 항목은 이름과 전화번호, 회사 이메일, 사번 등이었다.

놀유니버스는 26일 공지문에서 “보안 체계를 지속적으로 강화하겠다”며 “다시 한번 이번 사고로 심려를 끼쳐 드린 점 진심으로 사과드린다”고 전했다.