줌줌투어, 해킹과 리뷰 페이지 오류로 개인정보 유출 공지

여행 예약 플랫폼 줌줌투어가 11월 6일 조현수 대표이사 명의의 공지로 두 건의 개인정보 유출 사고 경위와 대응 현황을 공개했다. 회사는 외부 공격에 따른 유출과 리뷰 페이지 개발 오류에 따른 노출을 각각 설명했다.

회사에 따르면 외부 공격자는 2026년 11월 4일 오후 3시 30분경부터 회원으로 가입한 뒤 서비스 일부 기능의 보안 취약점을 악용해 다른 고객과 가이드의 정보를 불법 조회했다. 유출된 고객 항목에는 이름·이메일·전화번호, 예약 당시 입력한 여행자 정보, 동행자의 성·이름·나이·성별, 결제 금액, 상품명·여행일·인원 등 주문 정보가 포함됐다. 일부 고객은 바우처 파일과 고객센터 문의 대화 내용이 유출됐거나 유출됐을 가능성이 있다고 회사는 밝혔다.

가이드 정보로는 이름·별명·사진·소개·인터뷰 답변과 일부 가이드의 이메일·전화번호·카카오톡 아이디가 조회됐다. 같은 공격으로 일부 주문에 고객이 요청하지 않은 취소 요청이 발생했으나 회사가 당일 모두 복구했다. 회사는 공격자의 접속과 유출 경로를 차단하고 공격에 사용된 계정을 잠갔으며, KISA와 개인정보보호위원회에 신고해 조사에 협조하고 있다고 밝혔다.

리뷰 페이지 오류로 예약 정보 노출

별개의 리뷰 페이지 개발 오류로 예약 정보가 화면에는 표시되지 않았지만 페이지 데이터에 포함돼 방문자나 검색엔진이 받아볼 수 있는 상태였다. 노출 기간은 기본적으로 2024년 11월 6일부터 2026년 11월 4일까지이며, 예약자 전화번호는 2024년 11월 13일부터, 리뷰 작성자 이름과 판매자 연락처·사업자 정보는 2026년 11월 5일까지 노출됐다.

회사는 문제 확인 당일 리뷰 페이지에서 고객 예약 정보를 삭제하고 다음 날 작성자 이름을 가렸으며, 검색엔진과 인터넷 아카이브에 삭제를 요청했다. 11월 7일에는 리뷰 작성자의 프로필 사진 파일 경로도 포함됐던 사실을 추가로 공지했다. 주민등록번호·여권번호·생년월일·카드번호·계좌번호·비밀번호는 유출되지 않은 것으로 확인됐다.

한편 바우처 파일 임시 링크는 15분간 유효하며 관련 링크는 11월 4일 모두 만료됐다. 리뷰 페이지에는 2025년 9월 30일부터 사업장 주소·사업자등록번호·통신판매업 신고번호가 포함돼 있었다. 전체 유출 인원과 두 사고 대상자의 중복 여부는 공개되지 않았다. 이번 공지는 dailysecu.com이 보도했다.