[놀유니버스] 미사용 구 시스템 취약점 공격으로 임직원·협력사·이용자 개인정보 유출…2018년 퇴직자 정보도 포함_2026년 10월

여행·여가 플랫폼 NOL(놀)을 운영하는 놀유니버스가 2026년 10월 19일 새벽 2시 40분경 외부 공격을 받아, 시스템 보안 취약점을 통해 임직원 정보 조회 기능이 뚫리면서 임직원·협력사 관계자·이용자 2명의 이름·전화번호·회사 이메일·사번이 유출됐습니다. 공격받은 곳은 새 시스템으로 옮긴 뒤 쓰지 않던 구 시스템으로, 옛 인터파크 시절인 2018년 퇴직자 정보까지 파기되지 않고 남아 있었습니다.

□  개요 

   놀유니버스는 2026년 10월 22일 홈페이지 공지를 통해 "시스템을 대상으로 한 외부의 비정상적인 접근으로 인해 임직원의 개인정보가 유출된 사실을 확인했다"며 사과했습니다.
    공격은 10월 19일 오전 2시 40분경 일어났습니다. 외부 공격자가 시스템 보안 취약점을 이용해 일부 임직원 정보 조회 기능에 비정상적으로 접근했고, 이름, 전화번호, 회사 이메일, 사번이 빠져나갔습니다. 피해자는 일부 임직원과 협력사 관계자, 이용자 2명이며 전체 규모는 조사 중입니다.
    블로터에 따르면 공격받은 곳은 새 시스템으로 옮긴 뒤 쓰지 않던 구 시스템이었고, 여기에 옛 인터파크 시절인 2018년 퇴직자 정보까지 남아 있었습니다. 회사는 이를 "명백한 관리상의 미흡"이라고 인정했습니다. 놀유니버스는 사고 당일 공격 경로를 차단하고 취약점을 조치했으며, 한국인터넷진흥원(KISA) 등 유관기관에 신고했습니다. 사번·회사 이메일·연락처가 함께 유출돼 임직원·거래처를 사칭한 스피어피싱에 악용될 우려가 있습니다.

 

□  사고내용 요약  

    1. 회사명 : 놀유니버스(여행·여가 플랫폼 NOL 운영)
    2. 사고유형
        - 미사용 구 시스템의 보안 취약점을 이용한 외부 공격 → 임직원 정보 조회 기능 비정상 접근
    3. 유출규모
        - 일부 임직원(2018년 퇴직자 포함)·협력사 관계자, 이용자 2명(전체 규모 조사 중)
    4. 유출항목
        - 이름, 전화번호, 회사 이메일, 사번

    5. 특이사항
        - 공격받은 곳은 새 시스템으로 옮긴 뒤 쓰지 않던 구(레거시) 시스템으로, 운영을 멈춘 시스템이 외부에서 접근할 수 있는 상태로 남아 있었음
        - 옛 인터파크 시절인 2018년 퇴직자 정보가 8년 넘게 파기되지 않고 보관돼 있었음. 회사는 "명백한 관리상의 미흡"이라고 인정
        - 공격 시각이 새벽 2시 40분경으로, 업무 시간 외 공격
        - 사번·회사 이메일·연락처가 함께 유출돼 임직원·거래처 사칭 스피어피싱, 악성 메일, 보이스피싱에 악용될 우려
        - 임직원 정보 조회 기능에서 이용자 2명의 정보가 함께 유출된 경위는 미공개
        - 회사는 공격자에 대한 형사 고소를 검토 중

□  사고대응 타임라인  

    - 2026년 10월 19일(월) 02시 40분경
        . 외부 공격자, 미사용 구 시스템의 보안 취약점을 이용해 임직원 정보 조회 기능에 비정상 접근, 개인정보 유출
    - 2026년 10월 19일(월)
        . 놀유니버스, 유출 사실 확인
        . 공격 경로 차단, 취약점 조치
    - 일자 미공개
        . 한국인터넷진흥원(KISA) 등 유관기관 신고, 피해 당사자에게 사고 사실·대응 방법 안내
    - 2026년 10월 22일(목)
        . 홈페이지 공지·사과문 게시, '개인정보 유출 확인하기' 기능 제공
        . 더팩트 단독 보도 후 언론 공개
    - 진행 중
        . 유출 범위·영향 추가 조사, 개인정보 보관·파기 절차 재점검, 공격자 형사 고소 검토

□  개인정보 유출 관련 홈페이지 안내  

놀유니버스 개인정보 유출 안내 주요 내용(2026년 10월 22일, 언론 보도 기준)
※ 공지 원문을 확인하지 못해 보도 내용을 요약했습니다.

■ 경위
"시스템을 대상으로 한 외부의 비정상적인 접근으로 인해 임직원의 개인정보가 유출된 사실을 확인했다."
2026년 10월 19일 오전 2시 40분경, 외부 공격자가 시스템 보안 취약점을 이용해 일부 임직원 정보 조회 기능에 비정상 접근

■ 유출 항목
이름, 전화번호, 회사 이메일, 사번

■ 조치 사항
- 공격에 쓰인 접근 경로 차단, 관련 취약점 조치 완료
- 비정상 접근 실시간 탐지·차단 체계 강화, 추가 피해 여부 지속 확인

■ 유의사항
"의심스러운 이메일이나 문자, 전화 연락에 각별히 유의하고", 출처가 불분명한 링크 접속이나 인증정보 입력 자제

■ 문의 및 피해 구제
홈페이지 '개인정보 유출 확인하기', 사내 개인정보보호 담당 창구, 개인정보 분쟁조정위원회, 개인정보침해 신고센터(118)

"심려를 끼쳐 진심으로 사과드린다."

□  대응내역  

    - (놀유니버스) 사고 당일 공격 경로 차단, 취약점 조치
    - (놀유니버스) 한국인터넷진흥원(KISA) 등 유관기관 신고, 피해 당사자 개별 안내
    - (놀유니버스) 홈페이지 공지·사과문 게시, '개인정보 유출 확인하기' 기능과 전담 창구 운영
    - (놀유니버스) 비정상 접근 실시간 탐지·차단 체계 강화, 개인정보 보관·파기 절차 재점검
    - (놀유니버스) 공격자 형사 고소 검토
     ※ 유출 인원(임직원·퇴직자·협력사), 취약점 내용, 이용자 2명이 포함된 경위, 개인정보보호위원회 신고 여부, 신고 일자는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 시스템 전환 후 쓰지 않는 구 시스템은 외부 접근을 완전히 막고, 데이터 이관·파기 후 폐기
        - 외부에 노출된 자산(구 시스템, 테스트 서버 등)을 정기적으로 찾아내는 외부 공격표면 점검(ASM)
        - 임직원 정보 조회 기능에 인증·권한 검증 강화, 대량 조회 탐지
        - 사칭 메일 대응을 위한 메일 보안(SPF·DKIM·DMARC) 점검과 의심 메일 차단 강화

    2. 관리적 조치
        - 퇴직자 정보는 보유기간이 지나면 즉시 파기하고, 보유·파기 현황을 정기적으로 점검
        - 시스템 전환·통합(M&A 포함) 시 구 시스템 데이터 정리와 폐기 절차를 사업 완료 조건에 포함
        - 유출 인원과 대상을 확정해 퇴직자를 포함한 피해자에게 개별 통지
        - 임직원·협력사 대상 스피어피싱 주의 안내와 모의훈련 실시

□  관련기사(출처)  

• 놀유니버스, 해킹에 임직원 정보 유출…8년 전 퇴직자도 포함 - 매일일보
• [단독] 놀유니버스, 외부 공격에 임직원 정보 유출…2018년 퇴사자 정보도 털려 - 더팩트
• 놀유니버스, 시스템 취약점 뚫려 임직원 개인정보 유출 “비정상 접근 차단” - 보안뉴스
• 놀유니버스, 외부 공격에 개인정보 유출…“보안 체계 강화할 것” - 블로터
• 놀유니버스, 외부 공격에 개인정보 유출…이용자·임직원 등 피해 - EBN

감사합니다.