“지난주에 그 호텔에서 묵었던데?”…숙박정보 2만5000건 유출

28일 업계에 따르면 온다는 한국인터넷진흥원(KISA), 외부 보안 전문기관과 사고 원인·유출 규모를 조사 중이다. 회사는 서울경찰청 사이버수사과에 신고를 접수하고 진행 중인 수사에도 적극 협조하고 있다는 입장이다.

지난 12~13일 호텔용 예약관리 시스템 ‘호텔플러스’ 응용 프로그램 프로그래밍 인터페이스(API)에 비정상 접근이 들어와 일부 예약정보가 무단 조회됐고, 회사는 14일 이를 발견해 공격자 IP와 조회 경로를 차단했다. API는 외부 프로그램과 정보를 주고받는 통로다.

유출 가능성이 있는 정보는 성명, 휴대전화 번호, 예약번호·예약 상태·숙박정보로 결제카드 정보는 유출 대상에 포함되지 않은 것으로 현재까지 확인됐다. 예약정보 2만4777건은 현재까지 추정치로 정확한 규모는 조사 중이다.

호텔플러스는 호텔이 여러 온라인 판매채널의 객실 재고와 예약을 한 곳에서 관리하는 시스템이다. 소비자가 어느 숙박 앱으로 예약했든 해당 호텔이 호텔플러스를 사용하면 예약정보가 이곳으로 모인다. 온다를 직접적으로 사용하지 않은 예약자도 피해 대상이 될 수 있는 구조다.

숙박 예약관리 시스템을 노린 해킹은 해외에서도 잇따라 발생하고 있다. 일본에선 호텔플러스와 유사한 역할을 하는 기업 ‘데마이라즈’가 해킹당해 지난달 하순부터 예약자들에게 와츠앱 등으로 카드정보 재입력을 요구하는 피싱 메시지가 발송됐다.

업계에서는 최근 잇따른 해킹 사고에도 회사측 대비가 부실했던 것이 아니냐는 지적이 나온다. 온다의 홈페이지 정보보호 선언문엔 지금도 ‘시스템과 데이터 접근 권한을 제한하고 보안 감사로 잠재적 위협을 막는다’는 문구가 걸려 있다.

이달 16일 기준 온다 고객센터에 접수된 관련 문의·신고는 277건으로, 금전 피해는 아직 확인되지 않았다. 온다 측은 “정확한 원인 규명과 재발 방지를 위해 모든 역량을 집중하겠다”며 “유출 여부 및 범위가 확정되면 지체 없이 안내하겠다”고 했다.

공준호 기자