[온다(ONDA)] 숙소 예약관리 시스템 '호텔플러스' API 비정상 접근…예약정보 약 2만4,777건 성명·휴대전화·숙박정보 유출 가능성_2026년 10월
숙박 솔루션 기업 온다(ONDA)의 숙소 예약관리 시스템 '호텔플러스'의 API에 2026년 10월 12~13일 외부의 비정상 접근이 발생해, 예약정보 약 2만4,777건의 투숙객 성명·휴대전화번호·숙박정보가 무단 조회됐을 가능성이 확인됐습니다. 온다는 숙소를 사칭해 메신저로 추가 결제를 요구하는 연락에 주의해 달라고 당부했습니다.
□ 개요
주식회사 온다(ONDA)는 2026년 10월 16일 홈페이지에 '개인정보 유출 사고 관련 안내 및 사과 말씀'을 게시하고, 예약관리 시스템을 통해 일부 예약정보가 무단 조회됐다고 밝혔습니다.
온다에 따르면 10월 12일부터 13일 사이 외부에서 숙소 예약관리 시스템 '호텔플러스'의 API에 비정상적으로 접근해 일부 예약정보가 조회됐습니다. 온다는 10월 14일 이를 인지하고 긴급 대응에 나섰습니다. 유출 가능성이 있는 항목은 투숙객 성명, 휴대전화번호, 예약정보(예약번호, 예약 상태, 숙박정보)이며, 대상은 약 2만4,777건으로 추정됩니다. 결제카드 정보와 비밀번호는 포함되지 않은 것으로 확인됐습니다.
온다는 공격자 IP와 비정상 조회 경로를 차단하고 인증·접근권한 관리와 감사 로그를 강화했습니다. 한국인터넷진흥원(KISA) 등 관계기관·외부 보안 전문기관과 원인을 조사하고 있으며, 서울경찰청 사이버수사과에 신고했습니다. 현재까지 고객센터에 277건의 문의·신고가 접수됐고, 실제 금전 피해는 확인되지 않았다고 밝혔습니다.
□ 사고내용 요약
1. 회사명 : 주식회사 온다(ONDA) – 숙소 예약관리 시스템 '호텔플러스'
2. 사고유형
- 예약관리 시스템 API에 대한 외부 비정상 접근으로 예약정보 무단 조회(유출 가능성)
3. 유출규모
- 예약정보 약 2만4,777건(추정, 정확한 규모 조사 중)
4. 유출항목(총 5개)
- 신원·연락처 : 성명, 휴대전화번호
- 예약정보 : 예약번호, 예약 상태, 숙박정보
- 결제카드 정보, 비밀번호는 포함되지 않음
5. 특이사항
- 온다가 숙소(호텔 등)에 제공하는 B2B 예약관리 시스템의 API가 공격 경로로, 투숙객은 온다를 직접 쓰지 않았어도 제휴 숙소 예약 정보가 노출됐을 수 있음
- 성명·휴대전화번호에 예약번호·숙박 일정까지 함께 노출되어, 숙소를 사칭한 메신저 피싱(예약 확인, 추가 결제, 카드정보 입력 요구)에 그대로 악용될 수 있음
- 온다는 예약 완료 후 체크인 전에 메신저로 추가 결제를 요청하지 않는다고 밝힘
- 공지 시점에 이미 고객 문의·신고 277건이 접수됐으나, 실제 금전 피해는 확인되지 않음
- 발생(10/12~13) 후 하루 만인 10/14 인지, 16일 공지
- KISA 등과 원인 조사, 서울경찰청 사이버수사과에 수사 의뢰
- API 취약점의 구체적 내용과 영향 받은 제휴 숙소 범위는 공개되지 않음
□ 사고대응 타임라인
- 2026년 10월 12일 ~ 13일
. 외부에서 예약관리 시스템 '호텔플러스' API에 비정상 접근, 예약정보 무단 조회
- 2026년 10월 14일
. 온다, 비정상 접근 정황 인지 및 긴급 대응
. 공격자 IP·비정상 조회 경로 차단, 긴급 보안 조치
- 2026년 10월 16일
. 홈페이지에 '개인정보 유출 사고 관련 안내 및 사과 말씀' 게시
. KISA 등 관계기관·외부 보안 전문기관과 원인 조사, 서울경찰청 사이버수사과 신고(신고일 미공개)
- 진행 중
. 정확한 유출 규모·영향 범위 조사, 인증·접근권한·감사 로그 강화 및 모니터링
. 고객센터 문의·신고 대응(공지 기준 277건 접수)
□ 개인정보 유출 관련 홈페이지 안내
[공지] 개인정보 유출 사고 관련 안내 및 사과 말씀
2026년 10월 16일 / 주식회사 ONDA
※ 아래는 온다 홈페이지 공지 내용을 항목별로 요약한 것입니다.
유출 경위 및 일시
2026년 10월 12일부터 13일 사이 외부에서 예약관리 시스템(호텔플러스)의 API에 비정상적으로 접근하여 일부 예약정보가 무단으로 조회되었습니다. 당사는 10월 14일 이 정황을 인지하고 긴급 대응에 착수하였습니다.
유출 가능 항목 및 규모
성명, 휴대전화 번호, 예약정보(예약번호, 예약 상태, 숙박정보) / 약 24,777건(추정, 조사 진행 중)
※ 결제카드 정보와 비밀번호는 유출 대상에 포함되지 않은 것으로 확인되었습니다.
조치 사항
- 공격자 IP와 비정상 조회 경로 차단, 관련 시스템 긴급 보안 조치
- 인증 및 접근권한 관리, 추적·감사 로그 강화 및 지속 모니터링
- KISA 등 관계기관·외부 보안 전문기관과 원인 및 영향 범위 조사
- 서울경찰청 사이버수사과 신고 및 수사 협조
- 현재까지 고객센터 문의·신고 277건 접수, 실제 금전 피해는 확인되지 않음
피해 예방 안내
- ONDA나 제휴 숙소를 사칭해 메신저로 예약 확인, 추가 결제, 개인·카드정보 입력을 요구하는 경우 주의해 주십시오.
- ONDA는 예약 완료 후 체크인 전에 메신저로 추가 결제를 요청하지 않습니다.
- 의심스러운 문자나 메신저의 링크는 누르지 마시고, 예약 확인은 예약처 공식 사이트나 ONDA 고객센터를 통해 해 주십시오.
- 비밀번호는 유출 항목에 포함되지 않았으나, 계정 보호를 위해 변경을 권장합니다.
피해 구제
피해가 확인되면 사실관계를 검토해 필요한 구제와 지원을 하겠습니다. 개인정보 분쟁조정위원회를 통한 분쟁조정, 손해배상 및 법정손해배상 청구 등의 절차를 이용하실 수 있습니다.
문의처
ONDA 고객센터 : 1544-3812 / abuse@onda.me
개인정보 분쟁조정위원회 : 1833-6972 / www.kopico.go.kr
□ 대응내역
- (온다) 10월 14일 비정상 접근 인지, 공격자 IP·비정상 조회 경로 차단 및 긴급 보안 조치
- (온다) 인증·접근권한 관리, 추적·감사 로그 강화 및 지속 모니터링
- (온다) KISA 등 관계기관·외부 보안 전문기관과 원인·영향 범위 조사
- (온다) 서울경찰청 사이버수사과 신고 및 수사 협조
- (온다) 10월 16일 홈페이지 공지, 고객센터(1544-3812, abuse@onda.me) 문의·신고 대응, 피해 구제 절차 안내
※ API 취약점 내용, 영향 받은 제휴 숙소 수, 투숙객 개별 통지 여부, 개인정보보호위원회 신고 여부, 확정 유출 규모는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 예약 조회 API에 요청마다 인증·권한 검증 적용(숙소별 데이터 분리, 타 숙소 예약 조회 차단, IDOR 방지)
- API 키·토큰의 유효기간 단축, 숙소·연동사별 접근 범위 최소화와 IP 허용 목록 적용
- 대량·순차 조회를 잡는 호출량 제한과 이상 행위 실시간 탐지
- API 응답에서 휴대전화번호 등은 마스킹하고 업무에 필요한 항목만 제공
2. 관리적 조치
- 외부 공개 API 목록을 관리하고 정기 모의해킹·API 보안 점검 실시
- 제휴 숙소와 함께 유출 대상 투숙객을 확정해 개별 통지하고, 피싱 주의 안내를 숙소 측과 공동 발송
- 체크아웃이 끝난 예약 정보의 보유 기간을 정하고 주기적으로 파기
- 이용자 피해 예방 : 숙소·예약업체를 사칭해 카카오톡·문자로 "예약 확인이 필요하다", "추가 결제하라"는 연락이 오면 링크를 누르지 말고 예약한 공식 앱·사이트 고객센터로 직접 확인
□ 관련기사(출처)
감사합니다.