대상: Trenitalia에서 이탈리아 철도 승차권이나 패스를 구매한 모든 분, 이탈리아 여행을 위해 Frecciarossa 또는 다른 열차를 예약한 관광객, 그리고 "열차 지연 환불"에 관한 문자나 이메일을 받은 분.
이 기사는 Trenitalia가 게시한 고객 통지문, 지연 보상 안내, 그리고 이탈리아 개인정보보호청(Garante), CERT-AGID, 이탈리아 우정통신경찰(Polizia Postale)의 공식 페이지를 바탕으로 작성되었습니다. 공격 기법은 다루지 않습니다.
여행자가 오늘 해야 할 일
여행과 관련된 메시지는 의심하고, 링크를 열지 마세요
Trenitalia는 통지문에서 관련 데이터의 성격상 여행과 관련된 사기 메시지를 받을 수 있다고 경고하며, 개인정보나 금융 정보를 요구하거나 예상치 못한 링크나 첨부 파일이 있는 메시지에 특히 주의할 것을 고객에게 당부합니다.
노선이나 날짜가 맞는다고 해서 메시지가 진짜라는 뜻은 아닙니다. 확인하려면 브라우저에 trenitalia.com을 직접 입력하거나 공식 앱을 열어 예약 내역을 확인하세요(기본 정보는 피싱이란?을 참고하세요).
지연 보상은 공식 채널을 통해서만 신청하세요
Trenitalia에 따르면, 고속(Frecce) 및 인터시티(Intercity) 열차의 지연 보상은 여행 후 1년 이내에 웹 양식이나 웹사이트의 "Richiedi Indennizzo" 기능, Trenitalia 앱, 매표소, 승차권을 발급한 여행사, 콜센터, 또는 우편으로 신청합니다.
지역 디지털 승차권(Biglietto Digitale Regionale)의 경우, 해당 보상금은 신청 없이 구매에 사용한 카드로 자동 지급됩니다. 이 안내 어디에도 링크를 클릭하고 카드 정보를 입력해서 환불받는 방식은 없습니다.
누가 요구하든 비밀번호나 카드 번호는 절대 알려주지 마세요
Trenitalia는 비밀번호나 결제 정보를 요구하기 위해 고객에게 연락하지 않겠다고 밝혔습니다. 이탈리아 개인정보보호청(Garante)도 마찬가지로 개인납세번호(codice fiscale), PIN, 카드 번호, 카드 보안 코드, 일회용 비밀번호를 요구하는 문자에는 절대 답장하지 말라고 조언합니다.
카드 정보를 입력했다면 즉시 카드사에 전화하세요
Garante는 SMS 사기에서 은행 또는 카드 정보를 제공했을 수 있다면, 알려진 신뢰할 수 있는 채널을 통해 즉시 은행이나 카드사에 연락해 신고하고 거래를 차단하라고 조언합니다. 돈이 빠져나갔다면 경찰에도 신고하세요.
명세서를 자주 확인하고 거래 알림을 설정하면 더 빨리 알아챌 수 있습니다. 이탈리아 밖에서 발급된 카드라면 카드 뒷면에 적힌 번호로 전화하세요.
통지문에 명시된 양식을 통해서만 Trenitalia에 문의하세요
Trenitalia는 전용 지원 채널을 마련해 두었습니다. 바로 민원 및 제안 웹 양식(reclami-e-suggerimenti.trenitalia.com)으로, "Privacy – Gestione dei dati personali"(개인정보 관리) 옵션을 선택하고 통지문의 참조 코드를 입력하면 됩니다. 전화 문의는 메시지에 적힌 번호가 아니라 Trenitalia 공식 웹사이트에 나온 콜센터 번호를 사용하세요.
의심스러운 메시지를 신고하세요
이탈리아 우정통신경찰(Polizia Postale)은 commissariatodips.it의 "Segnala online" 양식을 통해 피싱 신고를 받습니다(긴급한 경우 112 또는 113에 전화). 이탈리아 밖에서는 본인 국가의 신고 채널을 이용하세요. 예를 들어 일본에서는 Council of Anti-Phishing Japan이 신고를 받습니다(문자의 경우 스크린샷을 첨부하세요).
노선, 날짜, 시간, 승차권 번호
+ 이메일 주소와 전화번호
↓→
"12일 탑승하신 열차가 지연되었습니다: 환불을 신청하세요"
→ 링크는 무시하고, 앱이나 trenitalia.com을 직접 여세요
이름, 출생일과 출생지
(한 통지문에는 개인납세번호 포함)
↓→
실제 생년월일로 본인을 "확인"한다는 전화
→ 생년월일을 안다고 진짜가 되는 것은 아닙니다. 전화를 끊고 공식 번호로 거세요
로열티 카드 코드, 고용 회사
(해당 정보가 있던 승차권에 한함)
↓→
"포인트가 곧 소멸됩니다" / "법인 요금을 확인하세요"
→ 공식 앱에서 포인트를 확인하고, 카드 정보는 절대 입력하지 마세요
포함되지 않음(Trenitalia 발표 기준): 로그인 데이터, 비밀번호, 카드 번호, 유효기간, 보안 코드
무슨 일이 있었나(Trenitalia 통지문 기준)
아래 내용은 모두 Trenitalia가 웹사이트에 게시한 고객 통지문에 적힌 그대로입니다(GDPR 제34조에 따라 영향을 받은 사람들에게 보내는 "개인정보 침해 통지"이며, GDPR은 EU 일반 개인정보 보호법입니다). 승차권 종류에 따라 세 가지 버전이 게시되어 있습니다.
- Trenitalia 단독 판매 승차권
- Trenitalia France와 공동 관리하는 승차권
- Campania 지역 공유 승차권 UnicoCampania를 운영하는 Consorzio Unico Campania와 공동 관리하는 승차권
날짜 미공개
Trenitalia는 신원을 알 수 없는 외부 주체로 인한 사이버보안 사고를 발견했으며, 그 결과 승차권과 관련된 일부 개인정보에 무단 접근이 발생했습니다. 회사는 사고를 발견하자마자 이상 징후를 즉시 차단하고 시스템을 보호했으며 통제를 더욱 강화했다고 밝혔습니다.분석 기간
Trenitalia의 IT 팀은 영향을 받았을 가능성이 있는 사람을 정확히 확인하기 위해 심층 기술 분석을 진행했습니다. 회사는 부적절한 접근을 상세히 재구성해야 했기 때문에 시간이 걸렸으며, 작업이 끝난 후 영향을 받은 고객에게 통지했다고 밝혔습니다.2026년 6월 26일
공동 관리 승차권 통지문에 따르면, Trenitalia가 이 사건을 고객에게 전달한 날짜입니다.이후
Trenitalia는 공동 관리 승차권에 대해 자사와 Trenitalia France의 이름으로, 그리고 자사와 Consorzio Unico Campania의 이름으로 통지문을 보냈습니다. 두 통지문 모두 6월 26일에 전달된 "같은 사건"이라고 밝히고 있습니다.
- 신원
- 승객의 이름, 생년월일과 출생지, 구매자 이름(승객과 다른 경우)
- 연락처
- 이메일 주소, 전화번호
- 여정
- 승차권과 연결된 정보(예: 노선, 날짜, 시간, 승차권 번호) 및 승차권 발급 관련 데이터
- 기타(Trenitalia 및 Trenitalia France 통지문)
- 승차권과 연결된 로열티 카드 코드, 고용 회사 또는 기관, 승차권과 연결된 상품 또는 서비스 유형 및 이용에 필요한 데이터, 신분증 정보
- UnicoCampania 통지문
- 또한 개인납세번호(codice fiscale)와 성별을 기재하며, 고용 회사나 신분증 정보는 기재하지 않음
- 포함되지 않음
- 계정 접근 데이터, 개인 인증 정보, 결제 정보(카드 번호, 유효기간, 보안 코드)
- 신고
- 이탈리아 개인정보보호청(Garante)과 CSIRT Italia(이탈리아 국가 사이버 사고 대응팀)에 통지했으며, 로마 법원 검찰에 형사 고소를 접수함
목록 읽는 법: 항목은 승차권 종류와 시스템이 해당 데이터를 보관했는지에 따라 다릅니다
통지문은 이 분류가 Trenitalia 시스템에 승차권과 관련해 해당 데이터가 보관되어 있던 경우에만 적용된다고 설명합니다. 예를 들어 고용 회사 정보는 법인 승차권과 관련되고, 로열티 카드 코드는 연결된 카드가 있는 승차권에만 해당합니다.
게시된 통지문 세 건 중 개인납세번호를 기재한 것은 UnicoCampania 통지문뿐입니다. 일부 언론 보도는 분류를 합치거나 사고 날짜를 제시하기도 하지만, 이 기사는 Trenitalia 통지문에 적힌 내용만 사용합니다.
유출된 여정 정보가 가짜 메시지를 설득력 있게 만들고, 집을 비운 시기를 드러냅니다
이름과 이메일 주소 유출은 흔합니다. 이번 사건에서 다른 점은 여정 정보입니다. 누군가가 언제, 어디서, 어디로, 어떤 열차를 타고 이동했는지 알면 두 가지가 가능해집니다.
여정 없는 목록으로 가능한 것
- "계정에 문제가 있습니다"
- "포인트가 곧 소멸됩니다"
- 자신이 한 일과 맞지 않으면 쉽게 무시할 수 있음
여정이 포함된 목록으로 가능한 것
- "3일 나폴리행 열차가 지연되었습니다: 환불을 신청하세요"
- "승차권 번호 X는 확인을 위해 변경이 필요합니다"
- 실제로 그 열차를 탄 사람들이 가장 쉽게 믿음
첫째, 환불 사기가 훨씬 설득력을 갖게 됩니다. 2026년 7월, CERT-AGID(이탈리아 디지털청의 CERT)는 Trenitalia 이름과 지연 열차 환불을 사칭해 전화번호와 신용카드 정보를 빼내는 SMS 캠페인을 보고했습니다.
그 캠페인이 이번 유출 데이터를 사용했는지는 공개되지 않았습니다. 하지만 올바른 노선과 날짜가 담긴 메시지는 의심하기가 훨씬 어렵습니다.
둘째, 이 사이트가 독자적으로 덧붙이는 관점입니다. 여정은 그 사람이 집을 떠나 있는 시기에 대한 기록이기도 합니다. 여행 일정을 알면 "다음 주 집을 비우시는 동안의 집에 관해", 출장 중인 사람을 대신한다고 주장하는 전화, 또는 여행자가 해외에 있는 동안 가족에게 보내는 메시지 등에 악용될 수 있습니다.
방어는 간단합니다. 누군가의 여행 일정을 안다는 사실을 신원이나 신뢰성의 증거로 여기지 마세요. 가족에게도 이렇게 알려두면 도움이 됩니다. "메시지가 내 여정을 알고 있더라도, 나와 직접 연락이 닿기 전에는 돈이나 정보를 보내지 마."
이 사이트의 견해: 정상적인 환불 방식을 알고 있으면 가짜를 두고 고민할 필요가 없습니다
가짜 문자를 구별하는 요령(잘못된 철자의 링크, 어색한 문구)은 사기꾼이 능숙해질수록 효과가 떨어집니다. 더 믿을 만한 방법은 정상적인 절차를 미리 아는 것입니다.
Trenitalia의 경우 지연 보상은 고객이 웹사이트, 앱 또는 매표소를 통해 직접 신청하거나, 지역 디지털 승차권의 경우 구매에 사용한 카드로 자동 지급됩니다. "이 링크를 열고 카드 번호를 입력해야 환불을 받을 수 있습니다"는 이 어느 방식에도 맞지 않으므로, 더 읽지 않고도 가짜라고 판단할 수 있습니다.
유출 통지문을 보내는 기관에도 교훈이 있습니다. 통지문에 로그인 링크를 넣지 말고, 환불이나 보상에 카드 정보가 절대 필요하지 않다고 명시하세요. 그래야 고객이 간단한 규칙을 따를 수 있습니다. Trenitalia 통지문도 비밀번호나 결제 정보를 요구하지 않겠다고 밝히고 있어, 이 방향으로 나아가는 한 걸음입니다. 같은 점은 신청자 명단이 유출된 프랑스 사례에서도 나타났습니다(France Titres(ANTS) 유출 사건).
여행 예약 정보를 이용한 가짜 메시지는 숙박 분야에서도 문제가 되어 왔습니다(Booking.com 데이터 유출). 올해 또 다른 유럽 사례로, 영국 기업 등기소에 로그인한 사용자가 다른 회사의 비공개 데이터를 볼 수 있었던 사건은 Companies House WebFiling 결함을 참고하세요.
출처(공개 기록)
이 기사의 사실은 아래 공개 출처에서 가져왔습니다. 언론 보도의 추측이나 공식 발표되지 않은 수치, 날짜, 원인은 사용하지 않았습니다.
- Trenitalia, "Comunicazione di violazione dei dati personali ai sensi dell'art. 34 del Regolamento UE 679/2016"(Trenitalia 단독 판매 승차권) — trenitalia.com
- Trenitalia 및 Trenitalia France, 동일한 통지문(6월 26일 전달된 사건이라고 명시) — trenitalia.com
- Trenitalia 및 Consorzio Unico Campania, 동일한 통지문(개인납세번호와 성별 기재) — trenitalia.com
- Trenitalia, "Indennità per ritardo del treno"(지연 보상 및 신청 방법) — trenitalia.com
- CERT-AGID, "Sintesi riepilogativa delle campagne malevole nella settimana del 4 – 10 luglio"(2026년 7월 10일) — cert-agid.gov.it
- Garante per la protezione dei dati personali, "Smishing: i suggerimenti del Garante" — garanteprivacy.it
- Polizia Postale, "Segnala online" — commissariatodips.it
- Council of Anti-Phishing Japan, 피싱 신고(일본어) — antiphishing.jp
업데이트 기록
2026-09-30: 첫 버전. Trenitalia가 게시한 고객 통지문 3건, 지연 보상 안내, CERT-AGID 주간 요약(7월 10일), Garante 및 이탈리아 우정경찰의 안내를 바탕으로 작성했습니다. 영향을 받은 사람 수, 사고 발생 또는 발견 시점, 기술적 원인은 공식적으로 발표되지 않았으며, 발표되면 이 기사를 업데이트하겠습니다.
다음으로 읽을거리
- 목록이 유출된 뒤 가짜 메시지에 대비하기: France Titres(ANTS) 유출 사건(프랑스)
- 여행 예약 정보를 이용한 가짜 메시지: Booking.com 데이터 유출
- 올해의 다른 유럽 사례: Companies House WebFiling 결함(영국)
- 가짜 메시지 구별하기: 피싱이란? / 여행 중 기기 보호하기: 휴대용 노트북 보안
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)