[트래볼루션] 뱅크오브트립 예약 관리 시스템 이틀 새 두 차례 무단 접근으로 2022~2026년 예약자 정보 유출_2026년 11월

서울패스와 여행 상품 B2B 유통 솔루션 ‘뱅크오브트립’을 운영하는 트래볼루션의 예약 관리 시스템이 2026년 11월 6일과 8일 두 차례 외부의 무단 접근을 받았다. 이 사고로 이용일이 2022~2026년인 예약을 중심으로 예약자 이름·국적·예약 정보와 일부 이메일·전화번호·이용권 코드가 유출됐다. 뱅크오브트립에 연동된 국내외 파트너사(판매처)의 고객 정보까지 포함됐다.

□  개요 

   ㈜트래볼루션은 2026년 11월 9일 홈페이지에 ‘[중요] 개인정보 유출 사실 안내 및 사과의 말씀’을 게시했다. 11월 6일과 8일 두 차례, 권한 없는 외부인이 예약 관리 시스템에 비정상적으로 접근해 예약 정보 일부가 유출됐다는 내용이다.
    트래볼루션은 2014년 설립된 여행 스타트업이다. 외국인 자유여행객 대상 서울 관광 티켓·투어 예약 플랫폼 ‘서울패스’와, 파트너사가 여행 상품을 판매하는 B2B 채널 관리 솔루션 ‘뱅크오브트립’을 운영한다. 공격자는 예약 관리 시스템에서 예약 정보를 무단 조회했고, 회사는 두 번 모두 당일에 이를 확인해 접근을 차단했다. 대상은 주로 이용일이 2022~2026년인 예약이다. 대부분 예약자 이름과 예약 정보(주문번호·상품·이용일·인원)가 유출됐고, 이메일·전화번호·국적까지 유출된 예약은 일부다. 일부 예약은 예약 시 입력한 추가 정보와 이용권 코드도 포함됐다. 결제 카드·계좌 정보와 비밀번호는 포함되지 않았다. 전체 유출 규모는 공개되지 않았다.
    회사는 침입 경로와 해당 계정을 차단하고 서버와 주요 보안 키를 교체했으며, 발급된 접속 권한을 무효화했다. 관계 기관에도 신고했다. 뱅크오브트립으로 연결된 파트너사에는 유출 사실과 대상 예약 목록을 전달했고, 연락처가 없는 고객에게는 공지로 안내하고 있다. 서울패스 홈페이지에는 예약 이메일 인증으로 본인 유출 항목을 조회하는 ‘Check my information’ 페이지를 열었다. 첫 침입 후 이틀 만에 다시 뚫린 점에서, 1차 차단 때 침입 경로나 탈취된 인증 정보가 완전히 제거되지 않았을 가능성이 있다(추정). 유출된 이용권(바우처) 코드가 도용되거나, 예약 변경·추가 결제를 사칭한 피싱에 악용될 우려가 있다. 10월 놀(NOL)·마이리얼트립에 이어 여행 플랫폼 업계의 유출 사고가 이어지고 있다.

 

□  사고내용 요약  

    1. 회사명 : ㈜트래볼루션(뱅크오브트립·서울패스 운영)
    2. 사고유형
        - 해킹 : 예약 관리 시스템 무단 접근·예약 정보 조회(11월 6일, 11월 8일 두 차례)
    3. 유출규모
        - 미공개(주로 이용일 2022~2026년 예약)

    4. 유출항목
        - 예약자 이름, 이메일, 전화번호, 국적, 예약 정보(주문번호·상품·이용일·인원)
        - 일부 예약 : 예약 시 입력한 추가 정보, 이용권 코드
        ※ 대부분 이름·예약 정보이며 이메일·전화번호 유출은 일부, 결제 카드·계좌 정보·비밀번호는 미포함

    5. 특이사항
        - 이틀 새 두 차례 침입(11월 6일 차단 후 11월 8일 재침입)
        - B2B 유통 솔루션 특성상 국내외 파트너사(판매처) 고객 정보까지 유출(공급망 영향)
        - 외국인 여행객 비중이 큰 서비스로 해외 고객 피해 가능성(추정)
        - 이용권 코드 유출로 바우처 도용 우려
        - 본인 유출 여부 조회 페이지(‘Check my information’) 운영

□  사고대응 타임라인  

    - 2026년 11월 06일(금)
        . 1차 무단 접근, 예약 정보 조회·유출, 당일 확인·차단
    - 2026년 11월 08일(일)
        . 2차 무단 접근, 예약 정보 조회·유출, 당일 확인·차단
    - 2026년 11월 09일(월)
        . 홈페이지에 개인정보 유출 안내·사과문 게시
        . 파트너사 통지·대상 예약 목록 제공, 관계 기관 신고
        . 서울패스 홈페이지에 유출 조회 페이지(‘Check my information’) 개설
    - 진행 중
        . 관계 기관과 원인 규명, 보안 체계 전반 재점검

□  개인정보 유출 관련 홈페이지 안내  

[중요] 개인정보 유출 사실 안내 및 사과의 말씀
2026년 11월 9일

안녕하세요. 뱅크오브트립을 운영하는 (주)트래볼루션입니다.

이 공지는 뱅크오브트립을 통해 당사 상품을 판매하는 파트너사와, 파트너사를 통해 당사 상품을 예약하신 고객께 드리는 안내입니다.

2026년 11월 6일과 11월 8일 두 차례, 외부의 권한 없는 자의 비정상적인 접근으로 당사 예약 관리 시스템에 있던 예약 정보 일부가 유출된 사실을 확인하여 알려 드립니다. 파트너사와 고객님께 심려를 끼쳐 드려 진심으로 사과드립니다.

■ 먼저, 사칭 연락에 주의해 주세요
- 이번 일을 빌미로 당사나 판매처를 사칭한 메일·문자·전화가 올 수 있습니다. 결제·카드 정보·비밀번호를 요구하거나 출처가 불분명한 링크를 보내는 연락에는 응하지 마십시오.
- 당사는 메일·문자·전화·메신저로 카드 정보나 비밀번호를 요구하지 않습니다. 예약에 필요한 추가 정보는 당사 공식 메일 주소(@bankoftrip.com, @seoulpass.kr, @seoultravelpass.com, @orderect.com)나 예약하신 판매처의 공식 연락 수단으로만 요청드립니다.

■ 1. 유출 일시와 경위
- 2026년 11월 6일과 11월 8일, 외부의 권한 없는 자가 당사 예약 관리 시스템에 비정상적으로 접근하여 예약 정보를 무단으로 조회하였으며, 이로 인해 고객 정보 일부가 유출되었습니다. 당사는 각각 당일에 이를 확인하고 접근을 차단했습니다.

■ 2. 유출된 개인정보 (예약마다 다를 수 있습니다)
- 대상 예약: 주로 이용일이 2022년 ~ 2026년인 예약
- 예약자 이름, 이메일, 전화번호, 국적, 예약 정보(주문번호·상품·이용일·인원)
- 일부 예약: 예약 시 입력하신 추가 정보, 이용권 코드
- 대부분은 예약자 이름과 예약 정보이며, 이메일·전화번호까지 유출된 예약은 일부입니다.
- 결제 카드·계좌 정보와 비밀번호는 포함되지 않았습니다.

■ 3. 파트너사와 고객 안내
- 파트너사: 당사는 뱅크오브트립으로 연결된 파트너사에 유출 사실을 알렸으며, 대상 예약 목록은 파트너사에 제공하고 있습니다.
- 파트너사를 통해 예약하신 고객: 예약하신 판매처에 위 내용을 알렸으며, 연락처가 당사에 없는 고객께는 이 공지로 안내를 드립니다.

■ 4. 당사 조치
- 침입 경로와 해당 계정을 차단하고, 서버와 주요 보안 키를 교체했으며, 발급된 접속 권한을 무효화했습니다.
- 로그인·접근 제한을 강화하고, 보안 상태를 상시 감시하고 있습니다.
- 법령에 따라 관계 기관에 신고하였으며, 조사에 성실히 협조하고 있습니다.

■ 5. 피해 예방을 위해 부탁드리는 사항
- 예약 확인·변경은 예약하신 판매처나 당사 고객지원팀을 통해 해 주십시오.
- 파트너사께서는 고객 문의에 당사 확인이 필요하면 예약번호와 함께 아래 고객지원팀으로 연락해 주십시오.

■ 6. 피해 접수 및 문의
- 고객지원팀: cs@bankoftrip.com

■ 7. 피해 구제 절차
- 손해배상 청구: 개인정보처리자의 법 위반으로 손해를 입으신 경우, 고의 또는 과실을 입증하지 않고도 민사소송으로 손해배상을 청구하실 수 있습니다.
- 법정손해배상 청구: 고의 또는 과실로 개인정보가 유출된 경우, 실제 손해액을 입증하지 않고도 민사소송으로 손해배상을 청구하실 수 있습니다.
- 개인정보 분쟁조정위원회: www.kopico.go.kr / 1833-6972
- 개인정보침해신고센터: privacy.kisa.or.kr / 국번 없이 118

당사는 이번 사고를 매우 엄중하게 받아들이고 있습니다. 관계 기관과 협력하여 정확한 원인을 밝히고, 추가 피해가 생기지 않도록 하겠습니다. 또한 보안 체계 전반을 다시 점검·강화하여 같은 일이 반복되지 않도록 하겠습니다.

조사 과정에서 알려 드려야 할 사항이 새로 확인되면 이 공지와 판매처를 통해 신속히 알려 드리겠습니다.

고객님과 파트너사에 큰 심려와 불편을 끼쳐 드린 점 다시 한번 진심으로 사과드립니다. 감사합니다.

(주)트래볼루션 대표이사 배인호

 

□  대응내역  

    - (트래볼루션) 침입 경로·계정 차단, 서버·주요 보안 키 교체, 발급된 접속 권한 무효화
    - (트래볼루션) 로그인·접근 제한 강화, 보안 상태 상시 감시
    - (트래볼루션) 관계 기관 신고, 파트너사 통지·대상 예약 목록 제공, 유출 조회 페이지 운영
     ※ 유출 건수, 침입 수법, 재침입 원인, 신고 기관명, 영향받은 파트너사 수는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 1차 침해 후 전체 자격증명·API 키·세션 토큰 일괄 폐기와 백도어·웹셸 전수 점검(재침입 방지)
        - 예약 관리 시스템 관리자 접근 MFA·접속 IP 제한
        - 예약 DB 대량 조회 이상행위 탐지와 조회 건수 제한
        - 유출된 이용권 코드 일괄 재발급 또는 무효화

    2. 관리적 조치
        - 이용 완료 예약(2022년~)의 개인정보 보유기간 점검과 파기
        - 파트너사 연동 계정·API 권한 재점검과 파트너사 대상 보안 요건 마련
        - 외국인 고객 대상 다국어 사칭 피싱 주의 안내

□  관련기사(출처)  

• [중요] 개인정보 유출 사실 안내 및 사과의 말씀 - 트래볼루션
• 트래볼루션, 이틀 새 두 번 뚫렸다···4년 치 여행 정보 유출 - 내외경제TV
• (참고) 놀에 이어 마이리얼트립까지…여행·숙박 플랫폼 잇단 개인정보 유출 - 전자신문

감사합니다.