숙박 예약정보 잇단 침해…"온다·호텔스토리도 뚫렸다" — 호텔 예약 정보가 새면 사장은 뭘 해야 하나?

기사 대표 이미지 · 출처: 디지털데일리(2026년 10월 28일), 사진=챗GPT 생성 이미지(기사 표기 그대로)

무슨 일이 있었나?

보름 사이 세 곳입니다. 온다의 예약관리 시스템 «호텔플러스»는 10월 12~13일 API를 통한 외부의 비정상적 접근으로 고객 성명·휴대전화번호·예약번호·숙박정보가 조회됐고, 잠정 2만4,777건입니다. 온다는 경로를 막고 조사·신고 뒤 공지했고, 금전 피해는 확인되지 않았습니다.

세 사고의 10월 시간표 — 온다(12~16일), 놀유니버스(22일 공지), 호텔스토리(26일).

호텔스토리는 26일 오전 한 시간 남짓 일부 고객 정보가 비정상적으로 조회됐고, 경로는 일부 숙박업체의 계정정보가 밖으로 노출된 정황입니다. 기사가 따로 적은 대목이 하나 있습니다 — 일부 업체가 «호텔메모» 칸에 카드 관련 정보를 입력한 사례가 있어 그 일부가 사고 범위에 들어갔을 가능성을 조사 중이라는 것입니다. 놀유니버스는 옛 인터파크투어의 국내 숙소 예약 조회 기능이 공격받아 2~9월 접수분 일부의 예약자명·연락처·구매금액이 나갔다고 알렸습니다.

내 숙소 예약 정보는 어디를 거치나?

손님 한 명의 예약은 예약앱, 채널매니저, 숙소의 PMS, 그리고 카운터의 메모까지 네 곳을 거칩니다. 이번 세 사고는 PMS 둘(온다, 그리고 업소 계정이 노출된 호텔스토리)과 예약앱 하나(놀유니버스)에서 났습니다. 저희 인허가 원장에서 영업 중인 숙박업소(민박 포함) 126,542곳 가운데 예약앱 ID가 맞춰진 곳만 12,877곳(야놀자)·5,269곳(에어비앤비, 서울 위주)입니다. 물론 이 수는 매칭이 안 된 곳이 더 많은 하한이고 PMS를 쓰는지는 원장에 없습니다. 다만 앱으로 예약을 받는 숙소라면 손님 정보는 이미 숙소 밖 시스템에 있다는 뜻입니다.

물론 플랫폼의 서버가 뚫린 건 업소가 막을 수 없습니다. 다만 호텔스토리 건의 경로는 «업소 계정 노출»이었고, 카드정보가 문제가 된 것도 업소가 메모칸에 적어 둔 것이었습니다. 세 사고 중 업소 손에 달린 두 가지가 그것입니다. 법도 둘을 다 봅니다 — 개인정보 보호법 제26조④은 업소(위탁자)가 수탁자를 교육하고 감독하라고 하고, ⑧은 수탁자(PMS·플랫폼)에도 제34조를 준용합니다. 앞 글 호스텔 셀프체크인 여권 확인 편이 «손님 정보를 누가 들고 있나»를 물었다면, 이 글은 «그 정보가 새면 누가 무엇을 하나»입니다.

사장이 당장 할 일은?

셋입니다 — 계정 비밀번호와 연동 키, 메모칸의 카드정보, 예약 확인 문자 한 줄. 표에 그대로 적었습니다. 온다와 호텔스토리가 공지에서 당부한 것이 바로 «숙소를 사칭한 추가 결제 요청»이었습니다.

유출을 알면 며칠 안에 알려야 하나?

72시간입니다. 개인정보 보호법 제34조①은 유출을 알게 되면 지체 없이 손님에게 유출 항목·시점과 경위·피해를 줄이는 방법·대응조치·담당 연락처·법적 권리를 알리라고 하고, 시행령 제39조①이 그 «지체 없이»를 알게 된 때부터 72시간 이내로 정합니다. 항목과 경위를 다 못 밝혔어도 확인된 것부터 알립니다. 연락처를 모르면 홈페이지나 사업장에 30일 이상 게시로 갈음합니다.

신고는 시행령 제40조①입니다 — 1천명 이상이거나, 민감·고유식별정보이거나, 개인정보처리시스템에 외부에서 불법 접근한 경우 72시간 안에 개인정보보호위원회 또는 한국인터넷진흥원에 합니다.

물론 «우리 숙소는 작아서 1천명이 안 된다»는 말이 나옵니다. 다만 세 조건은 «또는»으로 묶여 있어 계정이 뚫려 조회된 것이라면 규모와 상관없이 신고 대상입니다. 회수·삭제로 침해 가능성이 현저히 낮아진 경우에만 신고하지 않을 수 있다는 단서도 같은 조에 있습니다. 두 법령 모두 2026년 9월 11일 시행본이며, 시행령(9월 10일 공포·11일 시행) 제39조·제40조가 72시간을 정합니다. 평소 의무는 제29조 — 내부 관리계획과 접속기록 보관 같은 안전조치입니다.

그래서 무엇부터 하나?

지역별 숙박 데이터 한 화면 · 기사 원문(디지털데일리 2026-10-28)