외부 해킹과 시스템 오류로 여행 예약 플랫폼 ‘줌줌투어’의 고객과 가이드 개인정보가 유출됐다. 리뷰 페이지에 포함된 개인정보는 약 2년간 외부에 무방비로 노출된 것으로 나타났다.
ADVERTISEMENT
10일 여행업계에 따르면 줌줌투어는 지난 6일 홈페이지에 공지를 올리고 외부 해킹과 리뷰 페이지 개발 오류로 개인정보가 유출된 사실을 알렸다. 회사 측은 개인정보 유출 대상자에게 사고 경위와 유출 항목 등을 안내하는 이메일을 개별 발송했다.
외부 해킹 사고는 지난 4일 오후 3시30분께 발생했다. 외부 공격자가 회원으로 가입한 뒤 서비스 기능 일부의 보안 취약점을 악용해 다른 고객과 가이드의 개인정보를 무단 조회한 것으로 파악됐다. 조회된 고객 정보에는 이름과 이메일, 전화번호, 여행 예약 당시 입력한 동행자 정보, 결제 금액, 여행 일정 등이 포함됐다. 가이드의 경우 이름과 사진, 소개 내용뿐 아니라 일부 이메일과 전화번호, 카카오톡 아이디 등이 유출됐다.
ADVERTISEMENT
해킹 과정에서 일부 예약에 고객 의사와 무관한 취소 요청이 접수되기도 했다. 줌줌투어는 해당 주문을 사고 당일 모두 복구했으며 실제 결제와 환불에는 변동이 없다고 설명했다.
리뷰 페이지 오류로 약 2년간 이용자의 개인정보가 외부에 노출되기도 했다. 2024년 11월 6일부터 지난 4일까지 리뷰 화면에는 나타나지 않는 예약자 정보가 웹페이지 데이터에 포함돼 있었다. 해당 페이지에 접속한 이용자와 검색엔진이 예약자의 개인정보를 열람하거나 수집할 수 있었던 것이다.
노출된 정보에는 리뷰 작성자의 이름과 이메일, 전화번호, 여행 상품 및 일정, 픽업 장소, 결제 금액 등이 포함됐다. 여행 동행자의 이름과 나이, 성별뿐 아니라 일부 판매자의 연락처와 사업장 주소, 사업자등록번호 등도 노출 대상에 포함됐다.
줌줌투어는 외부 공격에 사용된 계정을 차단한 뒤 보안 취약점을 보완하고 있다. 리뷰 페이지에서 개인정보가 포함된 데이터를 삭제하는 한편 구글과 네이버 등 검색엔진 및 인터넷 아카이브에 남아 있는 관련 페이지의 삭제도 요청했다. 개인정보보호위원회와 한국인터넷진흥원(KISA)에 사고를 신고하고 조사에 협조하고 있다.
다만 회사 측은 현재까지 주민등록번호와 여권번호, 카드번호, 계좌번호, 비밀번호 등은 유출되지 않은 것으로 확인됐다고 밝혔다. 정확한 유출 인원은 공개하지 않았다. 줌줌투어는 여행사나 가이드를 사칭해 추가 결제나 개인정보 제공을 요구하는 연락에 주의할 것을 당부했다.
ADVERTISEMENT
진영기 기자 young71@hankyung.com
ADVERTISEMENT
ADVERTISEMENT