[호텔스토리] 숙박 채널매니저 숙소 계정 탈취로 예약 고객정보 비정상 조회…성명·연락처·예약정보, 호텔메모 카드정보 유출 가능성_2026년 10월

숙박업소용 채널매니저·PMS·부킹엔진을 운영하는 호텔스토리에서 일부 숙소 계정정보가 외부에 노출되고, 이 계정으로 숙박 예약 고객의 개인정보가 비정상적으로 조회됐다. 2026년 10월 26일(월) 오전 09시 29분~10시 31분 약 1시간 사이에 성명·휴대전화번호·이메일·예약정보가 조회됐으며, 숙소가 호텔메모란에 직접 적어 둔 카드 관련 정보도 유출됐을 가능성이 있다.

□  개요 

   호텔스토리는 파트너사(숙소) 대상 공지 ‘개인정보 유출 사고 관련 안내 및 사과 말씀’에서, 2026년 10월 26일(월) 오전 09시 29분경부터 10시 31분경 사이 외부의 불법적인 시스템 접근으로 일부 고객의 개인정보가 비정상적으로 조회된 사실을 확인했다고 밝혔다.
    호텔스토리는 국내외 OTA(온라인 여행사)와 숙소 객실 재고·요금을 연동하는 채널매니저(CMS)를 비롯해 OTA 통합관리(GSA), PMS(예약관리시스템), 부킹엔진, 숙소 홈페이지 구축, 스마트 키오스크를 제공하는 숙박 B2B 솔루션 업체다. 여러 판매채널에서 들어온 예약정보가 한곳에 모이는 구조라, 숙소 계정 하나가 뚫리면 그 숙소의 채널별 예약 고객정보를 한꺼번에 조회할 수 있다(추정).
    회사는 일부 숙소가 쓰는 계정정보가 외부에 노출된 정황을 확인했고, 이 계정이 비정상적인 개인정보 접근에 쓰인 것으로 보고 있다. 유출 가능성이 있는 정보는 성명, 휴대전화번호, 이메일, 예약정보(예약번호, 예약 상태, 숙박정보)다. 카드번호 등 결제정보는 별도로 저장·관리하지만, 일부 숙소가 예약 관리 중 카드정보 관리 영역이 아닌 호텔메모란에 카드 관련 정보를 직접 입력한 사례가 있어 이 정보도 영향 범위에 포함됐을 수 있다. 호텔스토리는 접근 경로를 차단하고 영향받은 계정의 비밀번호를 초기화했으며, 한국인터넷진흥원(KISA)에 신고했다. 유출 가능성이 확인된 고객에게는 24시간 이내에 안내하고 있다. 유출 규모는 공개되지 않았다.

 

□  사고내용 요약  

    1. 회사명 : 주식회사 호텔스토리(Hotelstory)
    2. 사고유형
        - 노출된 숙소(파트너사) 계정정보를 이용한 외부의 불법 시스템 접근과 예약 고객 개인정보 비정상 조회
        - 계정정보 노출 경위는 미공개. 피싱, 인포스틸러 악성코드, 비밀번호 재사용(크리덴셜 스터핑) 가능성(추정)
    3. 유출규모
        - 미공개(정확한 유출 범위와 영향 규모 확인 중)
        - 비정상 조회 시간 : 2026년 10월 26일(월) 09:29~10:31(약 1시간)

    4. 유출항목(유출 가능성)
        - 성명, 휴대전화번호, 이메일
        - 예약정보(예약번호, 예약 상태, 숙박정보)
        - (일부) 숙소가 호텔메모란에 직접 적은 카드 관련 정보(카드번호·유효기간 등). 범위 추가 확인 중
        ※ 정식 결제정보는 별도 저장·관리 중(회사 설명)

    5. 특이사항
        - 플랫폼 자체가 아닌 숙소(파트너) 계정이 침입 경로가 됨. 숙박 B2B 솔루션의 고객사 계정 보안이 약점으로 드러남
        - 공지에서 공용 계정, 퇴사자 계정, 비밀번호 재사용과 평문 보관을 점검하라고 요청함. 숙소 쪽 계정 관리 부실이 원인일 가능성(추정)
        - 자유입력란(호텔메모)에 카드정보를 적는 운영 관행이 피해 범위를 결제정보까지 넓힘. 결제정보 분리 저장 원칙이 현장에서 지켜지지 않음
        - 실제 예약번호·숙박일과 일치하는 정보가 유출돼, 숙소나 OTA를 사칭한 예약 취소·변경, 추가 결제 요구 등 예약 사기에 쓰일 위험이 큼. 해외에서도 Booking.com 숙소 계정을 탈취해 투숙객에게 결제 링크를 보내는 수법이 반복되고 있음
        - 비정상 조회 약 1시간 만에 인지하고 차단함
        - 공지 대상이 파트너사(숙소)이며, 정보주체(투숙객)에게는 별도로 24시간 이내에 안내 중

□  사고대응 타임라인  

    - 시점 미상
        . 일부 숙소 계정정보 외부 노출(노출 경위 미공개)
    - 2026년 10월 26일(월) 09:29~10:31
        . 노출된 숙소 계정으로 외부에서 불법 접근, 고객 개인정보 비정상 조회
    - 2026년 10월 26일(월) 인지 직후
        . 비정상 접근 경로 차단, 영향받은 계정 비밀번호 초기화, 접근 권한 점검
        . 접속기록·접근 이력 분석, 비정상 접근 모니터링 강화
        . 한국인터넷진흥원(KISA) 침해사고 신고, 관계기관 공조
    - 사고 확인 후 24시간 이내
        . 유출 가능성이 확인된 고객에게 유출 사실과 피해 예방 안내 진행
        . 파트너사 대상 ‘개인정보 유출 사고 관련 안내 및 사과 말씀’ 공지와 홈페이지 팝업 게시(게시 일시 미표기)
    - 진행 중
        . 정확한 유출 범위, 영향 규모, 호텔메모 카드정보 포함 여부 추가 확인

□  개인정보 유출 관련 홈페이지 안내  

개인정보 유출 사고 관련 안내 및 사과 말씀
호텔스토리를 이용해 주시는 파트너사 여러분께 개인정보 보호와 관련한 중요 사항을 안내드립니다.

안녕하세요. 호텔스토리입니다.

당사는 2026년 10월 26일(월) 오전 09시 29분경부터 오전 10시 31분경 사이, 외부의 불법적인 시스템 접근으로 인해 일부 고객의 개인정보가 비정상적으로 조회된 사실을 확인하였습니다.

사고 관련 안내
현재까지 확인된 바에 따르면, 일부 숙소에서 사용하는 계정정보가 외부에 노출된 정황이 확인되었으며, 해당 계정정보가 비정상적인 개인정보 접근에 이용된 것으로 파악하고 있습니다.

현재 유출 가능성이 있는 정보는 성명, 휴대전화번호, 이메일 및 예약정보(예약번호, 예약 상태, 숙박정보)이며, 정확한 유출 범위와 영향 규모는 계속 확인하고 있습니다.

호텔스토리는 카드번호 등 결제정보를 정해진 처리 절차와 보안 기준에 따라 별도로 저장·관리하고 있습니다.

다만 일부 숙소에서 예약 관리 과정 중 카드정보 관리 영역이 아닌 호텔메모란에 카드 관련 정보를 개별 입력한 사례가 확인되었으며, 해당 정보의 일부가 이번 사고의 영향 범위에 포함되었을 가능성이 있어 정확한 범위와 영향 대상을 추가 확인하고 있습니다.

현재 관련 정보에 대한 보호조치와 점검을 진행하고 있으며, 추가로 확인되는 사항에 대해서는 필요한 조치와 대상 고객 안내를 신속하게 진행하겠습니다.

당사는 사고 인지 즉시 비정상적인 접근 경로를 차단하고, 영향을 받은 계정의 비밀번호 초기화 및 접근 권한 점검을 진행하였습니다. 또한 관련 시스템의 접속기록과 접근 이력을 분석하고 비정상적인 접근에 대한 모니터링을 강화하였습니다.

아울러 침해 사실 인지 즉시 한국인터넷진흥원(KISA)에 신고하였으며, 정확한 사고 원인과 영향 범위를 확인하기 위해 관계기관과 공조하고 있습니다.

유출 가능성이 확인된 고객에게는 사고 확인 후 24시간 이내 개인정보 유출 사실 및 피해 예방을 위한 안내를 진행하고 있습니다.

숙소 보안 조치 요청
추가적인 피해 예방을 위해 아래 사항을 반드시 확인해 주시기 바랍니다.
· 호텔스토리 관련 계정의 비밀번호를 즉시 변경해 주세요.
· 다른 서비스와 동일한 비밀번호를 사용 중인 경우 반드시 서로 다른 비밀번호로 변경해 주세요.
· 여러 직원이 하나의 계정을 공동으로 사용하고 있다면 사용자를 점검하고, 불필요한 계정 및 접근 권한을 정리해 주세요.
· 퇴사자 또는 현재 업무와 관계없는 사용자의 계정·권한이 남아 있는지 확인해 주세요.
· 계정정보를 이메일, 메신저, 문서 등에 평문으로 저장하거나 외부에 전달하지 않도록 주의해 주세요.
· 호텔메모 등 자유입력란에 카드번호·유효기간 등 카드 관련 정보가 기재되어 있는 경우 즉시 삭제해 주세요.
· 향후 카드정보는 반드시 지정된 카드정보 관리 영역을 이용해 주시고, 호텔메모 등 자유입력란에는 카드 관련 정보를 기재하지 말아 주세요.
· 출처가 불분명한 이메일·문자·메신저의 링크를 통한 로그인을 피하고, 반드시 호텔스토리 공식 사이트를 이용해 주세요.

예약 및 고객 문의 관련 주의사항
유출된 예약정보를 악용하여 호텔스토리 또는 숙소를 사칭한 예약 취소·변경, 추가 결제 요청 등이 발생할 가능성이 있으므로 각별한 주의를 부탁드립니다.
고객으로부터 관련 문의가 접수되는 경우, 호텔스토리 시스템 또는 기존 예약처를 통해 실제 예약 상태를 확인한 후 안내해 주시기 바랍니다.
특히 다음과 같은 사례가 확인되면 즉시 호텔스토리로 공유해 주시기 바랍니다.
· 숙소 또는 호텔스토리를 사칭한 추가 결제 요청
· 고객이 신청하지 않은 예약 취소·변경 안내
· 카드정보·계좌정보·인증번호 입력 요청
· 출처가 불분명한 결제 URL 또는 예약 확인 링크
· 실제 예약정보와 일치하는 내용을 포함한 의심스러운 문자·이메일
숙소에서 고객에게 직접 안내하는 경우에도 확인되지 않은 사고 원인이나 유출 범위를 임의로 안내하지 마시고, 호텔스토리의 공식 안내 내용을 기준으로 안내해 주시기 바랍니다.

피해 구제 및 권리구제 절차 안내
이번 사고와 관련하여 개인정보 침해 피해가 발생하였거나 의심되는 경우 호텔스토리 고객센터로 문의 및 신고해 주시기 바랍니다.
당사는 접수된 피해 내용을 확인하고 관련 법령에 따라 필요한 조치를 진행하겠습니다.
또한 개인정보 분쟁조정위원회를 통한 분쟁조정 신청이나 관련 법령에 따른 손해배상청구 및 법정손해배상청구 등 권리구제 절차를 이용하실 수 있습니다.
- 개인정보 분쟁조정위원회: https://www.kopico.go.kr / 1833-6972

문의 및 사고 제보
- 담당부서: 호텔스토리 고객센터
- 연락처: 1600-3886
- 이메일: abuse@hotelstory.com
- 운영시간: 평일/주말 09:00~18:00

호텔스토리는 이번 사고를 엄중하게 받아들이고 있으며, 정확한 원인 규명과 추가 피해 방지, 보안 체계 강화 및 재발 방지를 위해 최선을 다하겠습니다.
조사 과정에서 추가로 확인되는 중요 사항은 신속하게 안내드리겠습니다.
이번 사고로 관계자 여러분께 심려와 불편을 끼쳐드린 점 진심으로 사과드립니다.

감사합니다.
주식회사 호텔스토리

 

□  대응내역  

    - (호텔스토리) 비정상 접근 경로 차단, 영향받은 계정 비밀번호 초기화, 접근 권한 점검
    - (호텔스토리) 접속기록·접근 이력 분석, 비정상 접근 모니터링 강화
    - (호텔스토리) 유출 가능성 고객에게 24시간 이내 개별 안내, 파트너사 공지와 홈페이지 팝업 게시
    - (호텔스토리) 파트너 숙소에 비밀번호 변경, 공용·퇴사자 계정 정리, 호텔메모 카드정보 삭제 요청
    - (호텔스토리) 피해 접수 창구 운영(고객센터 1600-3886, abuse@hotelstory.com)
    - (한국인터넷진흥원) 침해사고 신고 접수, 원인·영향 범위 확인 공조
     ※ 개인정보보호위원회 신고 여부, 유출 규모, 영향받은 숙소 수, 계정정보 노출 경위는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 파트너(숙소) 계정에 다중인증(MFA) 의무화와 신규 기기·해외 IP 로그인 시 추가 인증 적용
        - 계정별 단시간 대량 예약 조회, 비업무 시간 접속 등 이상행위 탐지 후 자동 잠금
        - 예약 조회 화면의 연락처 마스킹, 지난 예약 고객정보 보관 기간 단축과 자동 파기
        - 자유입력란(호텔메모)에 카드번호 패턴을 입력하면 차단·자동 마스킹(PCI DSS 관점의 민감 인증정보 저장 금지)
        - 유출 크리덴셜(인포스틸러 로그·다크웹) 모니터링으로 파트너 계정 노출 여부 상시 점검

    2. 관리적 조치
        - 숙소별 공용 계정을 없애고 직원별 개인 계정과 권한 체계 도입, 퇴사자 계정 정기 회수
        - 파트너 숙소 대상 계정 보안과 카드정보 처리 수칙 교육, 이용약관에 보안 의무 반영
        - 투숙객 대상 예약 사칭 문자·결제 링크 주의 안내와 연동 OTA와의 공동 대응 체계 마련
        - 유출 규모와 카드정보 포함 여부를 확정해 정보주체에게 추가 통지하고 관계기관에 신고

□  관련기사(출처)  

• 개인정보 유출 사고 관련 안내 및 사과 말씀 - 호텔스토리
• 호텔스토리 서비스 소개(채널매니저·GSA·PMS·부킹엔진) - 호텔스토리

감사합니다.