[줌줌투어] 해킹 3건·리뷰 페이지 2년간 개발 오류로 고객·동행자·가이드·판매자 정보 유출_2026년 11월

여행 예약 플랫폼 줌줌투어에서 개인정보 유출 사고가 네 건 확인됐다. 2026년 11월 4일, 7일, 7~8일 세 차례 외부인이 서비스 취약점을 악용해 정보를 조회했다. 이와 별개로 리뷰 페이지 개발 오류로 2024년 11월부터 약 2년간 예약자 정보가 페이지 데이터에 담겨, 방문자와 검색엔진이 받아 볼 수 있는 상태였다. 이 사고들로 고객과 동행자의 이름·연락처·여행 일정·결제 금액, 가이드·판매자의 연락처와 사업자 정보가 유출됐다.

□  개요 

   줌줌투어는 2026년 11월 6일 홈페이지에 ‘개인정보 유출 사고 안내 및 사과드립니다’를 게시했다. 처음 공지한 사고는 11월 4일의 외부인 불법 접근과 리뷰 페이지 개발 오류 두 건이었고, 11월 10일 외부인의 불법 접근 두 건을 더해 공지를 갱신했다.
    첫 번째 사고는 11월 4일 15시 30분경 시작됐다. 외부인이 회원으로 가입한 뒤 서비스 기능의 보안 취약점을 악용해 다른 고객과 가이드의 정보를 조회했다. 같은 공격으로 일부 주문에 요청하지 않은 취소 요청이 들어갔지만 당일 모두 복구됐다. 두 번째 사고는 리뷰 페이지 개발 오류다. 2024년 11월 6일부터 2026년 11월 4일까지 리뷰에 연결된 예약 정보가 화면에 보이지 않는 페이지 데이터에 함께 담겨 있었다. 작성자 이름과 판매자 연락처·사업자 정보는 11월 5일까지 노출됐다. 리뷰 페이지를 연 사람이나 검색엔진이 이 데이터를 받아 볼 수 있었다.
    세 번째 사고는 11월 7일 21시 20분부터 26분간 이어졌다. 외부인이 로그인 인증 절차의 취약점을 악용해 일부 회원 계정에 접속하고 ‘내 정보’를 조회했다. 네 번째 사고는 11월 7일 22시 25분부터 8일 7시 8분까지다. 외부인이 파트너 웹사이트의 취약점으로 정보를 조회하고, 여기서 얻은 자동 로그인 정보로 일부 고객·파트너 계정에 접속했다. 첫 침입 직후 사흘 만에 서로 다른 취약점을 이용한 공격이 잇따라, 공격자가 서비스 전반의 취약점을 집중 탐색한 것으로 보인다(추정). 회사는 사고별로 접속을 차단하고 취약점을 수정했으며, 한국인터넷진흥원과 개인정보보호위원회에 신고했다. 주민등록번호, 여권번호, 생년월일, 카드번호, 계좌번호, 회원 비밀번호는 유출되지 않았다. 전체 유출 인원은 공개되지 않았다. 10월 놀·마이리얼트립, 11월 트래볼루션에 이어 여행 플랫폼 업계의 유출 사고가 계속되고 있다.

 

□  사고내용 요약  

    1. 회사명 : 줌줌투어 주식회사
    2. 사고유형
        - 해킹 : 서비스 기능 취약점 악용 정보 조회(11월 4일)
        - 개발 오류 : 리뷰 페이지 데이터에 예약 정보 포함, 검색엔진 수집 가능(2024년 11월~2026년 11월)
        - 해킹 : 로그인 인증 취약점 악용 회원 계정 접속(11월 7일)
        - 해킹 : 파트너 웹사이트 취약점 악용, 자동 로그인 정보 탈취로 계정 접속(11월 7~8일)
    3. 유출규모
        - 미공개(일부 고객·동행자·가이드·파트너·판매자, 대상자 이메일 개별 안내)

    4. 유출항목
        - 고객 : 이름, 이메일, 전화번호, 여행자·동행자 정보(이름·나이·성별), 결제 금액, 주문 정보, 픽업 장소, 일부 바우처 파일·고객센터 문의 대화, 계정 ‘내 정보’(마일리지·구매 금액 합계 등)
        - 가이드 : 이름, 별명, 사진, 소개, 인터뷰 답변, 일부 이메일·전화번호·카카오톡 ID
        - 판매자·파트너 : 이름, 카카오톡 ID·연락처, 계정 이메일, 사업장 주소·사업자등록번호·통신판매업 신고번호, 담당자 연락처·주소, 정산 집계 대시보드
        ※ 대상자별로 해당 항목만, 주민등록번호·여권번호·생년월일·카드번호·계좌번호·비밀번호는 미유출

    5. 특이사항
        - 일주일 사이 해킹 3건 발생, 각기 다른 취약점(기능 권한, 로그인 인증, 파트너 웹)을 악용
        - 리뷰 페이지 오류로 예약자 정보가 약 2년간 검색엔진에 노출될 수 있었음
        - 일부 주문에 공격자가 무단 취소 요청(당일 복구)
        - 파트너 정산 정보 유출로 정산 계좌 변경 사칭 사기 우려
        - 검색엔진·인터넷 아카이브에 남은 페이지 삭제 요청

구분	일시	경위	조치
①	11월 4일 15:30경~	회원 가입 후 서비스 기능 취약점 악용, 고객·가이드 정보 조회, 일부 주문 무단 취소 요청	당일 접속·경로 차단, 공격 계정 잠금, KISA·개인정보위 신고
②	2024년 11월 6일~2026년 11월 4일(일부 항목 11월 5일까지)	리뷰 페이지 데이터에 예약 정보 포함, 방문자·검색엔진 수집 가능	예약 정보 삭제, 작성자 이름 가림, 검색엔진 삭제 요청, 개인정보위 신고
③	11월 7일 21:20~21:46	로그인 인증 취약점 악용, 일부 회원 계정 접속·‘내 정보’ 조회	21:48 차단, 22:05 취약점 수정, KISA 신고, 개인정보위 신고 진행
④	11월 7일 22:25~8일 07:08	파트너 웹사이트 취약점 악용, 자동 로그인 정보 탈취해 고객·파트너 계정 접속	동일 유형 취약점 수정, 자동 로그인 해제, 공격 계정 정지, KISA 신고

※ 공지 원문 기준 사고별 요약

□  사고대응 타임라인  

    - 2024년 11월 06일(수)
        . 리뷰 페이지 데이터에 예약 정보 포함 시작(예약자 전화번호는 11월 13일부터)
    - 2025년 09월 30일(화)
        . 판매자 사업장 주소·사업자등록번호·통신판매업 신고번호도 포함 시작
    - 2026년 11월 04일(수)
        . 15:30경 외부인 불법 접근(①), 당일 차단·무단 취소 요청 복구
        . 리뷰 페이지 오류(②) 확인, 예약 정보 삭제
    - 2026년 11월 05일(목)
        . 리뷰 작성자 이름 가림, 판매자 연락처·사업자 정보·답글 이메일 삭제
    - 2026년 11월 06일(금)
        . 홈페이지에 유출 안내·사과문 게시, 대상자 이메일 개별 안내
    - 2026년 11월 07일(토)
        . 리뷰 작성자 프로필 사진 파일 경로 노출 추가 확인, 공지 반영
        . 21:20~21:46 회원 계정 불법 접근(③), 21:48 차단, 22:05 취약점 수정
        . 22:25부터 파트너 웹사이트 불법 접근(④)
    - 2026년 11월 08일(일)
        . 07:08경까지 ④ 지속, 취약점 수정·자동 로그인 해제·공격 계정 정지
    - 2026년 11월 10일(화)
        . 공지에 ③·④ 추가 갱신
    - 진행 중
        . 추가 대상자 확인, 공개 화면 전수 점검, 개인정보위 신고 절차(③·④)

□  개인정보 유출 관련 홈페이지 안내  

개인정보 유출 사고 안내 및 사과드립니다

줌줌투어에서 두 건의 개인정보 유출 사고가 확인되었습니다. 하나는 2026년 11월 4일 외부인의 불법적인 접근이고, 다른 하나는 이와 별개로 확인된 리뷰 페이지의 개발 오류입니다. 고객님과 파트너님께 걱정을 끼쳐 드려 진심으로 사과드립니다. 이후 11월 7일과 8일에 외부인의 불법적인 접근이 두 차례 더 확인되어 아래 ③·④에 추가로 안내드립니다.

모든 회원이 해당되는 것은 아닙니다. 아래에 해당하는 일부 고객·파트너·가이드의 정보만 유출되었으며, 해당되는 분께는 이메일로 개별 안내드립니다.

① 2026년 11월 4일 외부인의 불법적인 접근
경위: 2026년 11월 4일 15시 30분경부터 외부인이 회원으로 가입한 뒤 서비스 기능 일부의 보안 취약점을 악용해 다른 고객과 가이드의 정보를 불법적으로 조회했습니다. 같은 공격으로 일부 주문에 요청하지 않은 취소 요청이 들어갔으나 당일 모두 복구했고, 결제·환불에는 변동이 없습니다.
대상: 공격자가 조회한 일부 고객과 가이드
유출 항목(대상자별로 해당되는 것만):
고객: 이름, 이메일, 전화번호, 예약 때 입력한 여행자 정보(이름·성별·전화번호, 예전 주문은 이메일 포함), 동행자 정보(성·이름·나이·성별), 결제 금액, 주문 정보(상품명·여행일·인원). 일부 고객은 바우처 파일(15분 유효 임시 링크로, 11월 4일 모두 만료)과 고객센터 문의 대화 내용이 유출되었거나 유출되었을 수 있습니다.
가이드: 이름, 별명, 사진, 소개, 인터뷰 답변, 일부 가이드의 이메일·전화번호·카카오톡 ID
회사의 조치: 사고를 인지한 당일부터 공격자의 접속을 차단했고, 이번 유출의 원인이 된 경로를 차단했습니다. 확인된 취약점은 추가로 보완하고 있습니다. 공격에 쓰인 계정을 잠그고 계속 감시하고 있습니다. 한국인터넷진흥원과 개인정보보호위원회에 신고해 조사에 협조하고 있습니다.

② 리뷰 페이지 개발 오류
경위: 리뷰 페이지의 개발 오류로, 리뷰에 연결된 예약 정보 등이 화면에는 보이지 않는 페이지 데이터에 함께 담겨 있었습니다. 2024년 11월 6일부터 2026년 11월 4일까지(예약자 전화번호는 2024년 11월 13일부터, 작성자 이름과 판매자 연락처·사업자 정보는 2026년 11월 5일까지, 판매자 이름은 현재 정리 중) 리뷰 페이지를 연 사람이나 검색엔진이 받아 볼 수 있는 상태였습니다.
대상: 이 기간에 공개된 리뷰를 작성한 고객과 그 예약의 동행자, 해당 리뷰의 판매자
유출 항목(대상자별로 해당되는 것만):
리뷰 작성 고객: 예약자 성명·이메일·전화번호, 대표 여행자 이름·성별·전화번호, 예약 상품·옵션·투어일·인원·픽업 장소·결제 금액, 리뷰 작성자 이름, 프로필 사진 파일 경로(등록한 경우)
예약 때 입력된 동행자: 이름·나이·성별
판매자: 판매자 이름, 카카오톡 ID와 추가 연락처, 리뷰 답글에 표시된 판매자 계정의 이름(계정 주인의 실명 또는 닉네임)·이메일, 2025년 9월 30일부터는 사업장 주소·사업자등록번호·통신판매업 신고번호
회사의 조치: 문제를 확인한 당일 리뷰 페이지에서 고객의 예약 정보를 모두 지웠고, 다음 날 작성자 이름을 가리고 판매자 연락처·사업자 정보와 답글의 이메일을 지웠으며, 판매자 이름 표시도 정리하고 있습니다. 구글·빙·네이버 등 검색엔진과 인터넷 아카이브에 남은 페이지의 삭제를 요청했고, 접속 기록을 2년간 보존하도록 했으며, 다른 공개 화면도 전수 점검하고 있습니다. 개인정보보호위원회에 신고해 조사에 협조하고 있습니다.

③ 2026년 11월 7일 일부 회원 계정에 대한 불법적인 접근
경위: 2026년 11월 7일 21시 20분경부터 21시 46분경까지 외부인이 로그인 인증 절차의 취약점을 악용해 일부 회원의 계정에 접속하고 ‘내 정보’ 화면의 정보를 조회했습니다. 비밀번호 변경, 주문, 결제, 마일리지 사용은 현재까지 확인되지 않았습니다.
대상: 계정에 접속된 일부 회원. 현재까지 확인된 대상자께 이메일로 개별 안내드립니다.
유출 항목(대상자별로 해당되는 것만): 성, 이름, 표시 이름, 이메일, 전화번호, 프로필 사진 주소, 이메일 인증 여부, 연결된 SNS 로그인 종류, 마케팅 수신 동의 여부, 사용 가능·만료 예정 마일리지, 구매 횟수와 구매 금액 합계, 보유 쿠폰 수와 선물 대기 쿠폰 수, 위시리스트, 읽지 않은 메시지 수, 작성한 리뷰 수와 작성할 수 있는 리뷰 수
회사의 조치: 같은 날 21시 48분에 접속을 차단하고 22시 5분에 해당 취약점을 수정했습니다. 한국인터넷진흥원에 신고했고 개인정보보호위원회 신고 절차를 진행하고 있습니다.

④ 2026년 11월 7일~8일 파트너 웹사이트에 대한 불법적인 접근
경위: 2026년 11월 7일 22시 25분경부터 11월 8일 7시 8분경까지 외부인이 파트너 웹사이트 일부 기능의 취약점을 악용해 정보를 조회했고, 이 과정에서 얻은 자동 로그인 정보로 일부 계정에 접속했습니다. 주문과 결제 내역의 변경은 현재까지 확인되지 않았습니다.
대상: 계정에 접속된 일부 고객·파트너와 일부 예약 고객. 현재까지 확인된 대상자께 이메일로 개별 안내드립니다.
유출 항목(대상자별로 해당되는 것만):
계정에 접속된 고객·파트너: ‘내 정보’(③과 같은 항목). 파트너는 담당자 연락처·주소, 정산 집계 등 대시보드 정보 포함
일부 예약 고객: 주문 상세(이름, 연락처, 상품, 이용일, 결제 금액, 잔금 등). 일부 고객은 이름 또는 표시 이름과 예약 요약 또는 문의 메시지의 앞부분이 유출되었을 가능성이 있습니다.
회사의 조치: 11월 8일 해당 취약점과 같은 유형의 취약점을 수정했습니다. 유출이 확인된 계정의 자동 로그인을 해제했으며, 공격에 쓰인 계정을 정지했습니다. 한국인터넷진흥원에 신고했고 개인정보보호위원회 신고 절차를 진행하고 있습니다.

공통 안내
현재까지 확인 결과 유출되지 않은 정보: 주민등록번호, 여권번호, 생년월일, 카드번호, 계좌번호, 회원 비밀번호

피해 예방 방법: 줌줌투어·가이드·여행사를 사칭해 추가 결제, 계좌 이체, 개인정보를 요구하는 연락에는 응하지 마세요. 줌줌투어는 사이트·앱 밖에서 결제를 요청하지 않으며, 안내 메일에서 링크 클릭이나 결제를 요구하지 않습니다. 파트너님은 정산 계좌 변경이나 예약 내용과 다른 취소·변경 요청을 받으시면 처리하기 전에 줌줌투어에 먼저 확인해 주세요. ③·④ 안내를 받으신 분은 예방 차원에서 계정 비밀번호를 변경해 주세요.

내 정보가 포함됐는지 궁금하신 분: 이메일 안내를 받지 못하셨는데 해당 기간에 리뷰를 작성하셨거나 다른 분의 예약에 동행자로 등록되셨다면 고객센터로 문의해 주세요. 확인해 알려드리겠습니다.

문의와 피해 구제: 피해가 있거나 의심되면 알려 주세요. 확인해 필요한 조치를 안내드립니다. 개인정보 보호책임자 조현수(대표이사) / 고객센터 02-2088-4148 · support@zoomzoomtour.com · 90no3.channel.io (평일 09:00-18:00, 점심 12:00-13:00)

법적 권리: 개인정보 보호법 제39조·제39조의2에 따른 손해배상 청구, 개인정보 분쟁조정위원회 분쟁조정 신청(www.kopico.go.kr, 1833-6972), 개인정보침해 신고센터 신고(privacy.kisa.or.kr, 국번 없이 118)를 하실 수 있습니다.

추가로 확인되는 내용이 있으면 바로 다시 알려드리겠습니다.

2026년 11월 7일: 리뷰 작성자 프로필 사진 파일 경로가 함께 담겨 있었음을 추가로 확인해 반영했습니다.
2026년 11월 10일: 11월 7일~8일에 확인된 외부인의 불법적인 접근 두 건(③·④)을 추가했습니다. 조사를 계속하고 있으며, 대상이 추가로 확인되면 해당되는 분께 개별로 안내드리겠습니다.

다시 한번 깊이 사과드립니다.

게시일: 2026년 11월 6일
줌줌투어 주식회사 대표이사 조현수

 

□  대응내역  

    - (줌줌투어) 사고별 공격자 접속 차단, 취약점 수정, 공격 계정 잠금·정지, 자동 로그인 해제
    - (줌줌투어) 리뷰 페이지 예약 정보 삭제, 검색엔진·인터넷 아카이브 삭제 요청, 접속 기록 2년 보존, 공개 화면 전수 점검
    - (줌줌투어) 한국인터넷진흥원·개인정보보호위원회 신고, 대상자 이메일 개별 안내, 공지 갱신
     ※ 전체 유출 인원, 사고 간 대상 중복 여부, 공격 주체(4건 동일인 여부)는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - API 응답 데이터 최소화(화면에 쓰지 않는 개인정보를 응답·페이지 데이터에서 제외)
        - 객체 단위 권한 검증(IDOR) 전수 점검으로 타인 주문·회원 정보 조회 차단
        - 로그인 인증 로직과 자동 로그인 토큰 보안 강화(토큰 만료·재발급, 기기 바인딩)
        - 신규 가입 계정의 대량 조회 등 이상행위 탐지

    2. 관리적 조치
        - 배포 전 개인정보 노출 여부를 확인하는 보안 코드 리뷰 절차 마련
        - 서비스·파트너 웹 전반 모의해킹 정례화
        - 파트너 대상 정산 계좌 변경 사칭 사기 주의 안내와 변경 시 이중 확인 절차

□  관련기사(출처)  

• 개인정보 유출 사고 안내 및 사과드립니다 - 줌줌투어
• 줌줌투어, 개인정보 털렸다…2년간 시스템 오류도 방치 - 한국경제
• 줌줌투어, 해킹·개발 오류로 개인정보 유출…여행 일정·동행자 정보까지 노출 - 데일리시큐

감사합니다.