여행은 끝났는데, 내 개인정보는 아직 여행 중이다

마이리얼트립, NOL, 모두투어… 여행 플랫폼 개인정보 유출 사고와 대처 방법

단순히 스팸 문자가 조금 더 오는 수준에서 끝나지 않을 수 있다.

어떤 여행사에서 개인정보가 유출됐는지, 유출된 정보가 어떻게 악용될 수 있는지 살펴봤다.

어디서, 어떤 개인정보가 털렸을까?

최근 발생한 사고와 과거 주요 사례를 정리했다.

※ 사고마다 유출 범위와 조사 진행 상황이 다르다. 특히 온다와 항공사 관련 사고는 모든 고객의 개인정보 유출이 확정됐다는 의미가 아니다.

여기서 눈여겨볼 기업이 두 곳 있다.

마이리얼트립은 일부 고객의 여권정보까지 유출됐다.

여권번호가 유출됐다고 해서 누군가 내 여권으로 출국할 수 있다는 뜻은 아니다. 하지만 이름, 생년월일 등 다른 정보와 결합되면 신원 사칭이나 여행 관련 사기에 악용될 가능성이 있다.

NOL은 구 인터파크투어의 국내 숙박 예약정보가 유출됐다.

단순한 회원정보가 아니라 숙박 상품명과 이용일, 구매금액까지 포함됐다.

다만 NOL 전체 서비스의 예약정보가 유출된 것은 아니다. 회사가 발표한 사고 범위는 구 인터파크투어의 특정 국내 숙박 예약정보다.

해당 서비스를 이용한 적이 있다면 유출 안내 대상인지 확인할 필요가 있다.

사고가 발생한 기업의 모든 고객정보가 유출됐다고 볼 수는 없지만, 본인이 유출 대상에 해당한다면 주의해야 한다.

여행 플랫폼은 왜 이렇게 자주 털릴까?

개인정보 유출은 여행업계만의 문제는 아니다.

개인정보보호위원회에 따르면 국내 개인정보 유출 신고는 2022년 167건에서 2025년 447건으로 증가했다. 2026년 상반기에만 432건이 접수됐다.

다만 여행업계만의 사고 증가율은 확인되지 않았다.

여행산업에는 보안 관리가 복잡해질 수 있는 특징이 있다.

호텔 하나를 예약하는 데도 여러 회사의 시스템이 연결될 수 있다는 점이다.

고객이 OTA에서 호텔을 예약하면 예약정보가 숙박 공급사와 예약관리 시스템을 거쳐 호텔에 전달되기도 한다.

항공권도 마찬가지다. 여행사와 항공사 사이에 외부 예약·발권 시스템이 연결될 수 있다.

여러 시스템이 연결된다는 사실 자체가 보안 취약점을 의미하지는 않는다.

다만 연결되는 시스템이 많을수록 개인정보 접근 권한과 외부 협력사의 보안 상태를 관리하는 일이 복잡해질 수 있다.

실제로 과거 호텔스컴바인 사고에서는 잘못된 접근 권한 설계가 개인정보 유출로 이어졌다.

해커의 공격도 문제지만, 기업이 개인정보를 어떻게 관리하고 있는지도 중요하다는 이야기다.

모두투어는 해킹당한 게 전부가 아니었다

2024년 모두투어에서는 약 306만 명의 개인정보가 유출됐다.

이름과 생년월일, 성별, 휴대전화번호 등이 포함된 대규모 사고였다.

해커는 홈페이지의 파일 업로드 취약점을 악용해 시스템에 침입했다. 여기까지만 보면 흔히 발생하는 외부 해킹 사고처럼 보인다.

그런데 개인정보보호위원회의 조사 결과, 더 심각한 문제가 발견됐다.

모두투어가 이미 삭제했어야 할 개인정보를 제대로 파기하지 않고 보관하고 있었던 것이다.

보유기간이 지난 비회원 개인정보는 중복을 포함해 약 316만 건이었다.

여기서 306만 명은 유출된 사람의 수이고, 316만 건은 미파기된 개인정보의 건수다. 두 숫자가 동일한 대상을 의미하는 것은 아니다.

개인정보보호위원회는 이러한 미파기 행위가 대규모 유출 피해를 야기한 요인이라고 판단했다.

더구나 사고 대응 과정에서도 문제가 있었다.

모두투어는 2024년 7월 개인정보 유출 사실을 인지했지만, 고객에게 통지한 것은 9월이었다.

고객은 자신의 개인정보가 유출됐다는 사실을 약 두 달이 지나서야 알게 된 셈이다.

결국 개인정보보호위원회는 2025년 3월 모두투어에 과징금 7억 4,700만 원과 과태료 1,020만 원을 부과했다.

이 사고에서 가장 눈여겨볼 부분은 해커의 공격 기술이 아니다.

기업이 개인정보를 제대로 관리했다면 피해를 줄일 여지가 있었다는 점이다.

해킹을 완벽하게 막는 것은 어려울 수 있다.

그렇다고 이미 삭제했어야 할 개인정보까지 해커에게 내줄 이유는 없다.

사고가 발생한 뒤 고객에게 신속하게 알리는 것 역시 기업이 해야 할 일이다.

고객은 여행을 예약하기 위해 개인정보를 제공한다. 여행이 끝난 뒤에도 그 정보를 보관해야 한다면 합당한 이유가 있어야 한다.

해커가 개인정보를 훔친 것은 범죄다.

그런데 훔쳐 갈 필요도 없었던 개인정보까지 남겨둔 것은 누구의 책임일까?

내 여행정보가 유출되면 무슨 일이 생길까?

개인정보 유출이 무서운 이유는 정보 자체보다 그 정보가 어떻게 악용될 수 있는지 알기 어렵기 때문이다.

특히 여행 예약정보는 일반적인 회원정보와 조금 다르다.

내가 언제, 어디로 여행을 가는지까지 알려줄 수 있기 때문이다.

예를 들어 다음과 같은 문자를 받았다고 생각해 보자.

“고객님, 11월 15일 예약하신 ○○호텔의 결제 승인에 문제가 발생했습니다. 예약 취소를 방지하려면 아래 링크에서 결제정보를 다시 입력해 주세요.”

호텔 이름도 맞고, 예약 날짜도 정확하다.

평소 같았으면 스팸이라고 생각했을 문자지만 실제 예약정보와 일치한다면 잠깐 고민할 수 있다.

이런 공격은 실제로 발생하고 있다.

2026년 5월 한국인터넷진흥원(KISA)은 여행 예약정보를 악용한 스미싱에 주의하라는 경고를 발표했다.

공격자는 호텔 관계자를 사칭해 결제 오류를 안내하고, 가짜 사이트에서 카드정보를 입력하도록 유도했다.

여행정보가 유출되면 이런 식의 맞춤형 사기에 악용될 수 있다.

여권정보가 유출됐다면 신원 사칭의 위험도 고려해야 한다.

숙박 일정이 유출됐다면 개인의 이동 계획이나 사생활이 노출될 가능성도 있다.

물론 개인정보가 유출됐다고 해서 이러한 피해가 반드시 발생하는 것은 아니다.

다만 유출된 예약정보가 정확할수록 공격자가 보내는 가짜 메시지도 그럴듯해질 수 있다.

예약정보를 정확하게 알고 있는 사람이 반드시 호텔 직원이나 여행사 직원인 것은 아니다.

이 사실만 기억해도 상당수의 사기를 의심하는 데 도움이 된다.

이미 개인정보가 유출됐다면 어떻게 해야 할까?

이번 사고와 관련된 여행 플랫폼을 이용했다면 몇 가지는 확인해 보는 것이 좋겠다.

1. 개인정보 유출 안내를 확인하자.

여행 플랫폼에서 발송한 공식 이메일이나 앱 공지 등을 통해 본인이 유출 대상인지 확인해야 한다.

다만 유출 안내를 사칭한 피싱 메시지도 있을 수 있다. 문자에 포함된 링크보다는 공식 앱이나 웹사이트에 직접 접속해 확인하는 편이 안전하다.

2. 비밀번호가 유출됐다면 변경하자.

암호화된 비밀번호가 유출됐더라도 위험이 완전히 사라지는 것은 아니다.

해당 서비스의 비밀번호를 변경하고, 다른 서비스에서도 같은 비밀번호를 사용했다면 함께 변경하는 것이 좋다.

가능하다면 2단계 인증도 설정하자.

3. 호텔이나 항공사를 사칭한 결제 요청을 의심하자.

예약한 호텔의 이름과 숙박 날짜가 정확하더라도 문자나 메신저로 전달된 결제 링크를 바로 열지 않는 것이 좋다.

추가 결제가 필요하다는 연락을 받았다면 예약 플랫폼의 공식 앱이나 호텔의 공식 연락처를 통해 직접 확인하자.

4. 여권정보가 유출됐다면 관련 사기에 주의하자.

여권번호가 유출됐다는 이유만으로 무조건 여권을 재발급받아야 하는 것은 아니다.

다만 여권정보와 관련된 의심스러운 연락을 받았다면 개인정보를 추가로 제공하지 말고, 필요한 경우 여권 발급기관에 재발급 필요 여부를 문의하는 것이 좋다.

5. 의심스러운 결제나 계정 활동을 확인하자.

카드정보를 가짜 사이트에 입력했다면 즉시 카드사에 연락해 사용 정지나 재발급을 요청해야 한다.

계정에서 본인이 하지 않은 예약이나 변경 내역이 발견된다면 해당 플랫폼에 신고해야 한다.

여행 플랫폼도 달라져야 하지 않을까?

개인정보 유출 사고가 발생하면 기업들은 보안 강화를 약속한다.

물론 필요한 일이다.

그런데 보안 시스템을 강화하는 것만으로 충분할까?

모두투어 사고에서는 보유기간이 지난 개인정보를 파기하지 않은 문제가 확인됐다.

호텔스컴바인 사고에서는 접근 권한을 잘못 설계한 문제가 드러났다.

이 두 사례는 개인정보 보호가 단순히 해커를 막는 일만은 아니라는 사실을 보여준다.

기업은 개인정보를 수집할 때부터 고민해야 한다.

정말 필요한 정보인지, 누구에게 전달해야 하는지, 언제 삭제할 수 있는지 말이다.

여행 플랫폼이 더 편리한 예약 경험을 제공하기 위해 고객정보를 활용하는 것은 이해할 수 있다.

다만 고객에게 편리한 서비스를 제공한다는 이유만으로 불필요한 개인정보까지 계속 보관할 필요는 없다.

고객은 여행을 예약하기 위해 개인정보를 제공한다.

그 정보를 안전하게 관리하는 것은 플랫폼이 제공해야 할 서비스의 일부다.

여행은 끝났는데, 내 개인정보는 아직 여행 중일 수 있다.

그 여행의 목적지가 해커의 손에 들어가지 않도록 하는 것.

여행 플랫폼이 고객에게 제공해야 할 가장 기본적인 안전장치가 아닐까?