스카이티켓(Adventure Inc.) 정보 유출 사고(약 1,464만 건): 비밀번호, 환불 계좌 정보 및 일부 이용자 카드 정보 노출 — 이용자가 오늘 해야 할 일

첫 번째 사고에서는 약 413만 건의 회원 로그인 비밀번호가 해시 형태로 유출되었습니다. 해싱은 비밀번호를 원래대로 되돌리기 어려운 형태로 바꾸지만, 회사 스스로도 분석을 통해 비밀번호가 역추적되어 무단 로그인에 사용될 수 있다고 경고합니다(해싱의 원리: 비밀번호 해싱이란?).

회사는 회원에게 비밀번호 변경을 요청합니다. 이메일의 링크가 아니라, 공식 스카이티켓 사이트나 앱에 직접 로그인하여 변경하십시오. 회사는 자사 이메일에 비밀번호 입력을 요구하는 링크가 없다고 밝혔습니다.

회사는 다른 곳에서도 같은 비밀번호를 쓰는 사람에게 그곳의 비밀번호도 변경하라고 요청합니다. 유출된 비밀번호는 이메일 주소와 함께 다른 사이트에서 시도될 수 있습니다.

이메일, 인터넷뱅킹, 쇼핑 사이트처럼 계정이 탈취되면 피해가 가장 큰 곳부터 시작하십시오. 어디에서 비밀번호를 재사용했는지 확실하지 않다면 비밀번호 유출 여부를 확인하는 방법과 비밀번호 관리자를 고르는 방법을 참고하십시오.

2026년 10월 17일 기준으로 스카이티켓의 공지에는 2단계 인증에 대한 내용이 없습니다. 변경하는 다른 서비스에서 2단계 인증을 제공한다면 설정하십시오(다중 인증 선택 방법 참고).

회사의 10월 16일 두 번째 공지에 따르면, 해당 기간에 스카이티켓 프리미엄 회비를 위해 신용카드를 등록하거나 사용한 최대 6,140명의 카드 번호, 카드 명의자 이름, 유효기간(일부는 카드 번호만)이 유출되었습니다. 보안코드는 포함되지 않았습니다.

회사는 해당 대상자에게 2026년 10월 이후의 카드 명세서를 확인하라고 요청합니다. 재발급된 카드는 번호가 그대로일 수 있으므로 재발급 카드도 확인하십시오. 금액이 작더라도 알지 못하는 결제가 보이면 카드 뒷면에 적힌 번호로 카드사에 문의하십시오. 카드 재발급 여부가 불확실하면 카드사에 문의할 수도 있습니다.

회사는 연락처를 확인할 수 있는 대상자에게는 info@skyticket.com에서 이메일을 보낼 것이며, 개인별 피해 여부에 대한 문의에는 답변할 수 없다고 밝혔습니다. 연락처를 확인할 수 없는 대상자에게는 두 번째 공지 자체가 안내를 대신합니다. 해당 기간에 회비를 위해 카드를 등록하거나 사용한 기억이 있다면, 이메일을 기다리지 말고 명세서를 바로 확인하십시오.

두 번째 공지에 따르면, 스카이티켓 프리미엄 혜택으로 제공된 복지 서비스(다른 회사가 운영)의 회원 ID, 이름, 비밀번호도 유출되었습니다. 이 정보들은 암호화되어 있었지만, 암호화에 사용된 정보도 함께 빠져나가 판독될 수 있습니다.

회사는 이 서비스를 계속 이용하는 사람에게 비밀번호를 변경하라고 요청하며, 서비스 제공사와 협의한 뒤 정확한 절차를 발표하겠다고 밝혔습니다. 같은 비밀번호를 다른 서비스에서도 썼다면 그곳도 변경하십시오.

회사는 이용자에게 계정의 예약 내역과 신용카드 명세서를 확인하라고 요청합니다. 위의 프리미엄 대상자가 아니더라도, 누군가 계정에 로그인하면 저장된 카드가 예약에 사용될 수 있습니다. 이를 막기 위해 회사는 10월 7일 오후 6시경 저장된 카드 결제와 카드 저장 기능을 중단했습니다.

알지 못하는 예약은 회사 문의처에, 알지 못하는 결제는 카드사에 신고하십시오. 회사는 9월 9일 회원 계정에 대한 무단 로그인 1건을 확인했다고 밝혔습니다.

회사는 회사, 은행, 항공사, 버스 운영사, 카드사, 복지 서비스를 사칭한 이메일, 문자메시지, 전화, 우편물이 올 수 있다고 경고합니다. 이름, 생년월일, 전화번호, 주소가 노출되었기 때문에 이런 메시지는 그럴듯하게 보일 수 있습니다.

회사는 이번 사고와 관련해 결제를 요구하지 않겠다고 밝혔습니다. 환불이나 보상을 명목으로 송금, 수수료 납부, 앱 설치를 요구하는 메시지는 모두 가짜로 간주하십시오. 회사는 이메일, 문자, 전화로 카드 번호, 유효기간, 보안코드, 비밀번호를 요구하지 않으며, 이메일의 링크를 통해 카드 정보를 입력하라고 하지도 않겠다고 밝혔습니다. 메시지의 링크나 전화번호는 사용하지 말고, 직접 여는 공식 사이트에서 확인하십시오(피싱이란? 참고).

회사가 2026년 10월 8일부터 보내고 있는 이메일은 info@skyticket.com에서 발송되며, 제목은 "【重要】不正アクセスによるお客様情報"로 시작하는 네 가지 변형이 있고, "[Important] Apology for Information Leak Due to Unauthorized Access"와 같은 영문 문구가 함께 붙어 있습니다. 회사는 다른 주소에서 온 메일이나 비밀번호 입력을 요구하는 메일은 가짜일 수 있다고 밝혔습니다.

두 번째 사고에서는 환불 계좌 정보(은행명, 지점, 계좌 유형, 계좌번호, 예금주명)가 유출되었거나 유출되었을 가능성이 있습니다. 회사는 이 정보만으로는 즉시 돈을 인출할 수 없다고 밝혔습니다.

위험은 환불 절차를 사칭해 PIN이나 인터넷뱅킹 ID와 비밀번호를 얻으려는 연락에 있습니다. 전국은행협회는 고객에게 PIN이나 비밀번호를 요구하지 않는다고 밝혔고, 일본 경찰청은 경찰관이 전화로 PIN을 요구하지 않는다고 밝혔습니다. 일회용 비밀번호도 마찬가지로 전화나 문자로 알려주지 마십시오.

통장이나 뱅킹 앱에서 알지 못하는 거래가 있는지 확인하고, 발견하면 은행에 문의하십시오. 계좌번호가 유출되었다는 이유만으로 계좌를 반드시 바꿔야 한다는 공식 안내는 확인하지 못했습니다. 걱정된다면 카드 뒷면의 번호나 은행 공식 사이트에서 확인한 번호로 은행에 문의하십시오.

세 번째 사고에서는 2026년 8월 3일부터 10월 1일 사이에 로그인하지 않아도 버스 예약 완료 페이지가 표시될 수 있었습니다. 열람된 항목에는 출발 날짜와 시간, 승차·하차 장소, 운영사, 노선명, 운영사의 예약 번호가 포함되었습니다.

회사는 이 정보를 가진 사람이 회사나 버스 운영사를 사칭해 예약 변경이나 취소를 요구하거나 추가 요금 지불을 요구할 수 있다고 경고합니다. 계정의 '예약 확인' 메뉴에서 24시간 언제든 예약을 확인하거나 취소할 수 있습니다. 본인도 모르게 예약이 변경되거나 취소되었다면 회사에 문의하십시오.

회사는 10월 13일 전용 전화 회선 03-5224-8859(평일 오전 10시부터 오후 6시까지, 일본 시간, 일본어 응대)를 개설했습니다. 이메일 문의는 info@skyticket.com이며, 24시간 접수되고 순서대로 답변합니다. 사업 파트너와 대리점을 위한 별도 주소도 있습니다. 10월 10일 기준으로 회사는 문의가 매우 많아 전화 연결이 어렵고 이메일 답변도 지연되고 있다고 밝혔습니다. 이메일이나 문자로 받은 번호가 아니라, 직접 여는 공식 공지에서 번호를 확인하십시오. 기다리는 동안 비밀번호 변경처럼 직접 할 수 있는 조치를 먼저 하십시오.

회사는 세 번째 사고에서 해당 기간(8월 3일부터 10월 1일)에 완료 페이지가 로그인 없이 표시될 수 있었고, 제3자가 자동화된 방식으로 열람했다고 밝혔습니다. 예약 완료 페이지와 확인 이메일에서 연결되는 페이지에는 이름, 연락처, 예약 번호가 한곳에 모여 있습니다.

페이지가 누가 보고 있는지 확인하는지 점검하십시오. 로그인을 요구하거나, 로그인 없이 동작해야 한다면 추측할 수 없는 긴 문자열을 URL에 넣고 만료 시간을 설정하십시오. 일반적으로 URL의 숫자를 바꿨을 때 다른 사람의 예약이 보인다면, 이는 IDOR라고 불리는 대표적인 결함입니다(배경: 인증과 권한 부여의 차이).

"자동화된 방식으로 열람"은 사람이 할 법한 요청보다 훨씬 많은 요청을 의미합니다. 한 사람이 반복해서 열 일이 거의 없는 예약 완료 페이지 같은 경우, 출처별 조회 횟수를 제한하고 한도에 도달하면 담당자에게 알림이 가도록 하십시오.

애플리케이션 내부나 웹 서버, CDN(콘텐츠 전송 네트워크) 앞단에서 측정할 수 있습니다. 시작 방법은 요청 속도 제한과 악용 통제에서 다룹니다.

비밀번호 해시가 유출된 뒤 회사는 저장된 카드 결제를 중단했습니다. 탈취된 계정으로 저장된 카드를 이용해 결제할 수 있다면, 카드 번호가 유출되지 않았더라도 부정 결제가 일어날 수 있습니다.

사이트에서 저장된 카드 결제를 자체적으로 끌 수 있는지, 또는 결제할 때마다 카드사 인증(3-D Secure)을 요구할 수 있는지 미리 확인하십시오. 전환 장치가 없다면 사고 당일에 만들어야 합니다.

회사는 2018년 7월에 카드 정보를 보관하지 않는 방식으로 전환하고 그때 카드 정보를 삭제했다고 밝혔습니다. 하지만 회비 결제 기록(로그)은 남아 있었고, 이번에 빠져나갔습니다.

일반적으로 전환할 때는 메인 데이터베이스뿐 아니라 같은 데이터가 기록된 모든 곳, 즉 로그, 백업, 내보내기 파일, 오래된 서버를 목록으로 작성하십시오. 각 항목이 정리되었는지 확인하고 기록을 남기십시오. 회사는 암호화에 사용된 정보도 빠져나갔기 때문에 데이터가 판독될 수 있다고 밝혔지만, 그 정보를 어디에 보관했는지는 밝히지 않았습니다. 일반적인 원칙으로, 데이터를 암호화해 저장한다면 복호화 키를 데이터와 같은 곳에 두지 마십시오. 둘이 함께 유출되면 암호화는 보호 효과가 없습니다.

두 번째 사고에서는 업무 관리 시스템에 보관된 환불 계좌 정보가 관련되었습니다. 환불은 보통 일회성 절차이므로, 환불이 끝난 뒤 계좌 정보를 얼마나 보관할지 정하고, 그 기간이 지나면 자동으로 삭제하십시오. 보관하지 않는 데이터는 유출될 수 없습니다.