놀유니버스 고객·임직원 개인정보 유출 범위와 대응

놀유니버스는 10월 26일 홈페이지 공지를 통해 고객 예약정보에 대한 외부 공격자의 비정상적인 접근 사실을 알렸습니다. 회사가 공개한 고객 정보 유출 대상은 2026년 2월 15일부터 9월 8일까지 옛 인터파크투어에서 국내 숙소 예약 서비스를 이용한 고객의 예약내역입니다. 이는 유출된 예약정보의 대상 기간이며, 외부 공격자의 접근이 발생했다고 회사가 밝힌 날짜는 10월 22일입니다.

유출 대상은 서비스 종류에 따라 구분됐습니다. 회사는 인터파크투어의 항공·해외 숙소·투어·티켓 예약과 놀(NOL) 서비스 예약은 이번 유출 대상에 포함되지 않았다고 밝혔습니다. 따라서 같은 회사의 여행 서비스를 이용했더라도 이번에 공개된 유출 대상에 해당하는지는 이용한 서비스와 예약정보의 대상 기간을 함께 봐야 합니다.

고객 정보의 유출 항목은 회원 아이디와 회원번호, 예약자명과 이용자명, 전화번호와 이메일 주소, 상품명과 구매금액, 이용 일자입니다. 계정을 구분하는 정보와 연락처뿐 아니라 어떤 상품을 얼마에 구매했고 언제 이용했는지를 나타내는 예약정보도 포함됐습니다. 회사는 예약자명과 이용자명을 각각 유출 항목으로 제시했으며, 유출된 고객 수와 예약내역의 전체 규모는 공개하지 않았습니다.

임직원 정보도 일부 유출됐습니다. 회사가 밝힌 항목은 이름, 전화번호, 회사 이메일, 사번, 암호화된 내부 시스템 접속용 비밀번호입니다. 고객 정보는 국내 숙소 예약내역을 중심으로 설명됐고 임직원 정보에는 업무용 식별정보와 접속정보가 포함됐지만, 두 정보가 같은 경로로 유출됐는지는 보도로는 확인되지 않았습니다.

놀유니버스는 사고를 인지한 직후 공격에 이용된 접근 경로를 차단하고 해당 보안 취약점을 보완했다고 설명했습니다. 비정상적인 접근을 탐지하고 차단하는 체계를 강화했으며, 임직원 정보 유출에 대해서도 접근 경로 차단과 취약점 보완 조치를 했다고 밝혔습니다. 회사는 추가 피해 방지와 후속 조치를 위해 한국인터넷진흥원(KISA)에 기술 지원을 신청했다고 밝혔습니다.