대상: Quest Apartment Hotels 숙소를 이용한 적이 있는 모든 분(호주를 방문한 해외 출장 및 여행객 포함), 그리고 예약 또는 서비스를 위해 카드 정보를 취급하는 모든 분. 이 글은 Quest Apartment Hotels의 공식 발표와 호주 기관 및 PCI Security Standards Council의 공개 자료를 바탕으로 작성되었습니다. 공격 방법은 다루지 않습니다.
투숙객이 오늘 해야 할 일
안내문을 확인하고 발신 도메인과 번호를 확인하세요
Quest는 영향을 받은 사람에게 이메일을 직접 보냈으며, 등록된 이메일이 없는 사람에게는 SMS 또는 우편을 이용하고 있다고 밝혔습니다. 안내문에는 귀하의 어떤 정보가 영향을 받았는지 나와 있습니다. 스팸 메일함을 확인하세요.
Quest에 따르면 정상 이메일은 questapartments.com.au로 끝나는 도메인에서 발송되며, 사고 관련 SMS는 +61 485 095 177 또는 +61 468 153 778에서 옵니다. 표시된 발신자 이름만 보지 말고 실제 발신 주소를 확인하세요.
CVV가 포함된 카드가 영향을 받았다면 카드 발급사에 재발급을 문의하세요
Quest는 명세서를 검토하고 은행에 사고를 신고하라고 권고합니다. 이 사이트는 한 걸음 더 나아가라고 권장합니다. 만료되지 않은 카드라면 새 번호로 재발급받을 수 있는지 문의하세요. 카드 번호, 유효기간, CVV가 함께 있으면 온라인 결제에 사용될 수 있습니다.
카드가 호주 이외에서 발급되었다면 카드 뒷면에 적힌 번호로 전화하세요. CVV가 없는 번호만 영향을 받았다면 명세서를 계속 확인하세요.
WhatsApp 메시지나 이메일의 '예약 확인' 링크를 클릭하지 마세요
9월 25일 Quest는 Quest를 사칭하여 링크를 클릭해 곧 있을 예약을 확인하라고 요구하는 이메일과 WhatsApp 메시지에 대해 경고했습니다. 링크를 클릭하지 말고, 메시지에 적힌 번호로 전화하지 말며, Quest 웹사이트에 나온 정보를 이용해 호텔에 직접 문의하세요. Quest는 SMS로 비밀번호나 카드 정보를 요구하지 않을 것이라고 밝혔습니다(피싱이란 무엇인가요? 참고).
여권 번호: 서둘러 재발급하지 말고 발급 기관의 안내를 확인하세요
Quest는 호주 여권청을 인용하여, 호주 여권 번호가 유출되었더라도 여권은 해외여행에 계속 사용할 수 있으며 여권 번호만으로 새 여권을 발급받을 수는 없다고 밝혔습니다. 유출된 것은 번호뿐이며 여권 이미지는 아닙니다.
이 안내는 호주 여권에 관한 것입니다. 다른 나라의 여권을 가지고 계시다면 신분증 노출에 관한 OAIC의 일반 안내를 따르고 발급 기관에 문의하세요.
호주 면허, Medicare 또는 NDIS 번호: 각 기관에 문의하세요
Quest의 FAQ는 필요한 경우 대체 번호를 발급받을 수 있도록 다음 기관에 문의하라고 제안합니다.
- 운전면허: 주 또는 준주의 도로 당국
- Medicare 번호: Services Australia의 Scams and Identity Theft Helpdesk (1800 941 126)
- NDIS 번호: NDIS Fraud Reporting and Scams Helpline (1800 650 717)
호주에 신용이 있다면 신용정보 열람 차단(credit report ban)을 고려하세요
Quest의 FAQ는 신용정보 열람 차단(credit report ban)을 고려하라고 제안합니다. 이는 본인의 서면 동의 없이 신용정보회사가 신용 공급자에게 신용 파일을 공개하지 못하게 하는 조치입니다(Equifax와 Experian에 요청하는 방법도 안내되어 있습니다).
OAIC도 금융 정보가 노출되었을 때 신용보고서를 발급받아 보라고 권장합니다. 호주 신용 기록이 없는 방문객에게는 이 단계가 큰 의미가 없을 수 있습니다.
도움이 필요하신가요? IDCARE, Scamwatch, cyber.gov.au
IDCARE는 호주의 국가 신원 및 사이버 지원 서비스로, 상황을 평가하고 맞춤형 대응 계획을 세워 줍니다(개인: 1800 595 160). Scamwatch는 사기와 그 신고를 다루고, cyber.gov.au는 사이버 사고를 다룹니다. Quest의 FAQ도 Scamwatch와 cyber.gov.au를 안내합니다.
① 카드 번호 + CVV (46,727건)
→ 카드 발급사에 재발급을 문의하고 명세서를 계속 확인
② 카드 번호만 (297,739건)
→ 은행에 알리고 명세서를 정기적으로 확인
③ 여권 / 면허 번호 (104,268건)
→ 발급 기관의 안내를 확인하고, 번호를 인용하는 연락을 의심
④ 이름과 연락처만 (대부분의 사람)
→ "예약 확인" 메시지의 링크를 클릭하지 않기
모든 경우에 Quest에 따르면 스캔한 여권이나 신분증 문서는 영향을 받지 않았습니다
무슨 일이 있었나 (Quest Apartment Hotels의 발표 기준)
아래 내용은 모두 Quest의 공식 발표(8월 19일, 8월 21일, 9월 16일, 9월 23일, 9월 25일)와 FAQ에서 가져왔습니다.
2026년 8월 17일
Quest가 웹사이트 장애를 확인했으며, 조사를 통해 위협 행위자가 제3자 서비스 제공업체 소프트웨어의 취약점을 악용해 Quest의 환경에 접근했음을 확인했습니다. 사고는 차단되었습니다.8월 19일
첫 번째 발표: 2025년 6월 이전 기록, 주로 이름, 이메일 주소 및 기타 연락처 정보.8월 21일
Quest는 압도적 다수의 경우 정보가 이름과 연락처로 한정되었다고 밝혔으며, OAIC, 호주 신호정보국(ASD), 호주 사이버보안센터(ACSC), 빅토리아 경찰에 통보하고 협력하고 있다고 밝혔습니다.9월 16일
포렌식 데이터 분석 완료: 카드 번호(CVV 포함)를 포함한 범주별 건수와 함께 약 1,991,613명의 고객이 영향을 받은 것으로 확인되었습니다.9월 23일
여권 및 운전면허 번호에 대한 안내; FAQ 게시.9월 25일
Quest를 사칭한 WhatsApp 메시지와 이메일에 대한 경고.
| 범주 (Quest의 9월 16일 업데이트) | 기록 수 |
|---|---|
| 차량 등록번호 | 225,300 |
| 여권 및/또는 운전면허 번호 (번호만, 스캔한 신분증 문서 없음) | 104,268 |
| 신용카드 번호 (CVV 없음, 만료된 카드 포함) | 297,739 |
| CVV가 포함된 신용카드 번호 (만료된 카드 포함) | 46,727 |
| 생년월일 | 3,328 |
| NDIS 번호 (번호만) | 271 |
| Medicare 카드 번호 (번호만) | 46 |
- 범위
- 약 1,991,613명의 고객. 2025년 6월 이전 기록
- 영향을 받은 사람들의 공통 정보
- 이름, 주소, 전화번호, 이메일 주소의 일부 조합(FAQ에는 예약 정보와 개인 선호 사항도 언급됨)
- 일부 사람들
- 위 표와 같음. 모든 범주가 모든 개인에게 해당하지는 않음
- 원인(Quest의 설명)
- 위협 행위자가 제3자 서비스 제공업체 소프트웨어의 취약점을 악용해 Quest의 환경에 접근했습니다. 취약점의 세부 내용은 공개되지 않았습니다
- Quest의 대응
- 사고를 차단하고 복구를 완료함. 외부 법률 자문 및 포렌식 데이터 분석 전문가와 함께 조사함. 보안 통제를 강화함. 제3자 제공업체에 영향을 받은 환경의 복구와 보안 조치 추가를 요구함
- 당국
- OAIC, ASD, ACSC, 빅토리아 경찰에 통보하고 협력 중
읽는 법: '대부분 이름과 연락처'라는 내용이 달라졌습니다
8월에 Quest는 영향을 받은 사람의 압도적 다수가 이름과 연락처만 관련되었다고 말했습니다. 약 한 달 뒤 분석이 완료되면서 카드 번호(CVV 포함)와 여권 번호를 포함한 건수를 공개했습니다.
여전히 대부분의 사람은 이름과 연락처만 영향을 받은 것이 맞습니다. 하지만 첫 발표를 읽고 자신과 무관하다고 판단했다면 안내문이 있는지 다시 확인하세요. Quest는 각 개인의 정보를 확인하는 대로 단계적으로 통지를 보내고 있다고 밝혔습니다.
호텔 기록에 왜 CVV가 있었을까? PCI DSS의 내용
카드에 인쇄된 3자리 또는 4자리 카드 검증 코드(CVV)는 카드 업계 보안 표준인 PCI DSS에서 특별히 취급됩니다. 이 표준을 관리하는 PCI Security Standards Council(PCI SSC)의 공개 자료에 따르면 다음과 같습니다.
- 카드 검증 코드는 전체 마그네틱 스트라이프(트랙) 데이터 및 PIN과 함께 민감 인증 데이터(SAD)로 분류됩니다.
- 민감 인증 데이터는 암호화되어 있더라도 승인 후에는 보관하면 안 되며, 이는 환경에 카드 번호가 없더라도 적용됩니다.
- 승인 후 카드 검증 코드를 보관하는 것은 고객의 동의가 있더라도, 카드 등록(card-on-file) 또는 반복 거래의 경우에도 허용되지 않습니다. 예외는 정당한 사업상 필요가 있는 발급사 및 발급 서비스를 지원하는 기업입니다.
- PCI DSS는 거래가 승인되기 전에 코드를 수집하는 것을 금지하지 않습니다.
승인 후 보관 가능 (보호 요건 적용)
- 카드 번호(PAN)
- 카드 소지자 이름
- 유효기간
- 서비스 코드
승인 후 보관 불가 (민감 인증 데이터)
- 카드 검증 코드(CVV 등)
- 전체 트랙 데이터(마그네틱 스트라이프 또는 칩에 해당하는 데이터)
- PIN 및 PIN 블록
그렇다면 Quest의 기록에 있던 46,727건의 CVV는 어떻게 된 것일까요? Quest는 밝히지 않았습니다. 승인 전 예약 단계에서 수집되었는지, 얼마나 오래 보관되었는지, 어떤 시스템에서 어떻게 저장되었는지는 공개되지 않았습니다.
Quest의 FAQ에 따르면 영향을 받은 기록은 제3자 서비스 제공업체가 해당 환경에 남겨 둔 것이며, Quest는 제공업체와 함께 조사를 진행하고 있다고 합니다. 이 사이트는 이 정보만으로 누가 PCI DSS를 위반했다고 결론 내릴 입장이 아닙니다.
이 사이트의 견해: 투숙객으로서 할 수 있는 일은 CVV가 전달되는 곳을 줄이는 것입니다
PCI SSC가 승인 후 보관을 금지하는 이유는, 유출된 코드가 다른 유출 데이터와 결합되어 카드 번호와 검증 코드를 모두 복원하는 데 쓰일 수 있기 때문입니다. 즉 CVV는 결제가 끝나면 원칙적으로 남아 있지 않아야 할 정보이며, 이것이 예약 기록에 남아 있었다는 점이 이번 사고를 더 심각하게 만듭니다.
투숙객이 현실적으로 할 수 있는 일은 CVV를 전달하는 사람과 순간을 줄이는 것입니다.
- 숙소와의 이메일이나 채팅에 카드 정보를 적지 마세요
- 가능하면 현장에서 결제가 완료되는 옵션을 선택하세요
- 온라인 결제에는 카드를 한 장으로 정해 두세요. 이렇게 하면 이번과 같은 안내가 왔을 때 재발급 대상이 한 장으로 제한됩니다
올해 다른 숙박 예약 사고는 Booking.com 예약 데이터 접근 사고를 참고하세요.
카드 정보를 취급하는 기업을 위한 안내
Quest가 밝힌 원인은 "제3자 서비스 제공업체를 통한 취약점"이라는 설명에 그칩니다. 아래 내용은 예약이나 서비스를 위해 카드 정보를 받는 모든 기업을 위한 일반 지침이며, 이번 사고의 원인에 대한 진술이 아닙니다.
카드 검증 코드가 어디에 남아 있는지 확인하세요. 자사 시스템과 제공업체 시스템 모두 포함
승인 후 카드 검증 코드를 보관하지 않는다는 원칙은 PCI SSC의 FAQ에서 반복적으로 강조되고 있습니다. 자사 데이터베이스뿐 아니라 제공업체의 시스템, 오래된 예약 데이터, 시스템 이전 과정에서 남은 사본도 확인하세요. Quest의 사례에서 보듯 기록은 제공업체의 환경에 남아 있을 수 있습니다.
카드 데이터를 직접 보유하지 않는 결제 방식으로 옮기세요
카드 입력이 전적으로 결제 대행사의 페이지에서 이루어지면 카드 번호와 CVV가 자사 쪽으로 전달되지 않으므로, 자사에 유출될 카드 데이터가 없습니다. 이는 PCI DSS 적용 범위도 줄여 줍니다.
제공업체가 보유한 정보를 목록화하고 삭제 기한을 정하세요
Quest의 영향을 받은 기록은 2025년 6월 이전의 것이었습니다. 각 제공업체가 자사를 위해 어떤 정보를 언제까지 보관하는지 목록을 만들고, 기한이 지나면 삭제한다는 내용을 계약과 운영 양쪽에 명시하세요. 관련 원칙은 조직을 위한 최소 보안 기준에서 다룹니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 서비스 제공업체의 이름과 공개되지 않은 공격 방법은 다루지 않습니다.
- Quest Apartment Hotels, "Statement from Quest Apartment Hotels" (2026년 8월 19일) — newshub.medianet.com.au
- Quest Apartment Hotels 업데이트 페이지(8월 21일 및 9월 16일 공식 발표, 9월 23일 여권 및 운전면허 안내, 9월 25일 사기 경고, FAQ) — questapartments.com.au/update
- PCI Security Standards Council FAQ 1280, "Can card verification codes/values be stored for card-on-file or recurring transactions?" — pcisecuritystandards.org
- PCI SSC FAQ 1533, "Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?" — pcisecuritystandards.org
- PCI SSC 용어집, "Sensitive Authentication Data" 및 "Cardholder Data" — SAD / CHD
- 호주 정보위원회(OAIC), "Respond to a data breach notification" — oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / ASD의 호주 사이버보안센터 — cyber.gov.au
업데이트 기록
2026-09-30: 최초 버전. 2026년 8월 19일부터 9월 25일까지 Quest Apartment Hotels의 발표와 FAQ, 그리고 PCI SSC, OAIC 등의 공개 자료를 바탕으로 작성. Quest의 조사는 계속 진행 중이며, 추가 자료가 공개되면 이 글을 업데이트하겠습니다.
다음으로 읽기
- 다른 숙박 예약 사고: Booking.com 예약 데이터 접근
- 카드 표준: PCI DSS란 무엇인가요?
- 다른 곳에서 유출된 신분증 번호: Odido(네덜란드: 여권 및 면허 번호) / AssuranceAmerica(미국: 운전면허 번호) / Times Car(일본: 면허 이미지)
- 유출 이후 이어지는 사기: 피싱이란 무엇인가요? / 이동 중 기기 보안: 이동하며 쓰는 노트북 보호하기
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)