라쿠텐트래블, 개인정보 354만건 유출 가능성…"부정 접속 확인"

올해 1000만건 넘는 유출 3건…14년치 규모와 맞먹어

일본 라쿠텐그룹(楽天グループ)의 여행 예약 서비스 라쿠텐트래블(楽天トラベル)에서 외부 부정 접속으로 고객 개인정보 최대 약 354만건이 유출됐을 가능성이 제기됐다. 이 중 약 3만6000건에는 신용카드 명의와 유효기간 등 결제 정보가 포함됐다.

아사히신문, 요미우리신문 등 여러 외신은 라쿠텐이 라쿠텐트래블의 부정 접속과 개인정보 유출 가능성을 발표했다고 26일 보도했다.

보도에 따르면 라쿠텐 자회사 라쿠텐 트래블 익스체인지가 운영하는 해외 호텔 예약 사이트 일부 페이지가 부정 접속을 받았다. 이들 페이지에서 로그인한 고객 최대 약 260만건의 이름, 이메일, 전화번호, 사내용 식별번호가 대상이 됐다.

라쿠텐트래블 웹사이트 홈화면. (사진=라쿠텐트래블)

해당 페이지로 예약한 최대 약 4만건에는 거주국, 시설명과 금액 등 예약 정보, 동반자의 이름과 거주국까지 포함된다. 이 가운데 최대 약 3만6000건에는 카드 발급자 식별번호, 끝 4자리, 명의, 유효기간, 국제 브랜드 구분이 들어 있다.

대상 지역은 유럽, 미국, 캐나다, 아시아와 오세아니아 일부이며 한국, 대만, 홍콩 등은 제외된 것으로 알려졌다.

이와 별개로 다언어 예약 사이트에서는 로그인한 고객 최대 약 86만건의 이메일과 식별번호가 대상이 됐다. 관리 화면에 입력된 숙박 시설 종업원 최대 약 4만건의 계정명과 이메일도 포함된다. 현지 업계에서는 해당 사이트에서 약 5년간 로그인한 고객의 이메일 등이 샌 것으로 보고 있다

운영사는 9월 10일 이상을 감지했고 15일 원인을 특정해 16일 시스템 개선을 마쳤다. 이후 사내 조사에서 정보가 접근 대상이 된 사실을 확인했다. 다언어 사이트 건은 10월 20일 부정 접속 가능성을 감지하고 같은 날 원인을 특정해 21일 개선을 끝냈다.

라쿠텐은 접근 경로 차단 후 시스템을 개선했다고 밝혔다. 그러면서 유출 데이터의 부정 사용 우려가 없다는 입장을 내놨다. 대상이 된 정보만으로는 결제나 현금 서비스 같은 부정 이용이 불가능하다는 이야기다. 2차 피해와 다른 서비스에 대한 영향은 현재 확인되지 않았다.

라쿠텐은 대상 고객에게 순차적으로 개별 연락해 주의를 환기할 계획이다. 이 건은 일본 개인정보보호위원회와 해외 관계 당국에 보고됐다.

라쿠텐그룹은 이전에도 대규모 개인정보 유출설에 휘말렸다. 최근 사이버 범죄 포럼에 라쿠텐 회원 정보 약 1억100만건을 판다는 글이 올라왔다. 이에 대해 라쿠텐 측은 "정보 유출이 발생했다는 사실은 확인되지 않았다"며 "샘플 데이터에는 해당되는 계정 정보도 확인되지 않는다"고 밝혔다.