日고속버스 예약사이트 해킹…카드번호·보안코드 6949건 유출우려

개인정보 1만5493건 노출 가능성…고객통지 한달 뒤
한국어 안내하는 업체…韓예약자 결제내역 확인 필요

일본의 고속버스 내부/게티 이미지 뱅크

일본 고속버스 예약사이트가 해킹돼 이용자 신용카드 번호와 보안코드 등 6949건의 카드정보가 유출됐을 가능성이 나왔다. 업체가 이상 징후를 알고 프로그램을 바꾼 뒤에도 고객에게 알리기까지 시간이 약 한 달이 걸린 것으로 나타났다.

요미우리신문은 4일 사이타마현 시키시에 본사를 둔 버스업체 헤이세이엔터프라이즈의 고속버스 예약사이트가 무단접속으로 사용자가 입력한 개인정보가 외부에 드러났을 우려가 있다고 보도했다. 회사에 따르면 지난 9월 27일 한 사용자가 예약 완료 화면에 이상한 표시가 나타난다고 제보했다. 조사 결과 사이트 프로그램이 변조돼 사용자가 써넣은 정보를 외부에서 보거나 가져갈 수 있는 상태였던 것으로 알려졌다.

유출 가능성이 있는 개인정보는 9월 13~28일 입력된 성명·주소·전화번호 등 1만5493건이다. 이 가운데 6949건에는 신용카드 번호와 보안코드, 카드 명의, 유효기간이 들어 있었다. 연락처뿐만 아니라 온라인 결제할 때 쓰는 정보가 함께 드러났을 수도 있어서 2차 피해도 우려된다.

버스회사는 9월 28일 프로그램을 바꾸었지만, 대상 고객에게 유출 가능성을 알린 것은 10월 27일이었다. 이용자 제보 뒤 프로그램을 수정한 뒤 약 한 달이 흐른 뒤에야 고객에게 알린 셈이다. 이 기간 이용자들은 자신의 개인정보가 드러났을 가능성을 모르고 카드를 계속 썼을 수도 있다.

회사에는 카드 무단사용이나 의심스러운 이메일을 받았다는 신고가 여러 건 접수됐다고 한다. 다만 이는 이용자가 신고한 내용으로, 카드정보 6949건 모두가 실제로 유출되거나 부정하게 사용됐다는 의미는 아니다. 해당 버스회사는 "사내 보고체계에 미비가 있어 통지가 늦어졌다"며 사과하고 내부 보고체계도 재검토했다고 설명하고 있다.

일본의 도로변에 대형버스들이 줄지어 서 있다. 사진은 기사에 등장하는 업체 및 해킹 사건과 직접적인 관련이 없다./게티이미지

◇한국어 안내 제공…승차일보다 예약정보 입력일 확인해야
이번 사건은 해당 업체를 이용한 한국인 여행객도 확인해야 하는 사안이다. 헤이세이엔터프라이즈는 고속·야간버스 브랜드 'VIP라이너'를 운영하고 있다. 공식 예약사이트에서는 한국어를 선택할 수 있도록 안내하고 있다.

다만 한국인이 유출 대상에 들어있는지, 한국어 화면이나 다른 예약대행사이트를 통한 예약까지 영향받았는지는 확인되지 않았다. 해당 업체의 버스를 탔다는 사실만으로 개인정보가 노출됐다고 보기는 어렵다. 확인할 기준은 실제 버스를 탄 날짜보다 예약사이트에 개인정보를 써넣은 날짜다.

요미우리가 전한 대상 기간은 9월 13~28일이다. 이때 해당 업체 사이트에 개인정보나 카드정보를 입력했다면 예약기록과 회사의 개별 통지 내용을 점검할 필요가 있다. 국내에서 발급받은 카드로 결제했다면 해당 카드사의 앱이나 명세서에서 해외 승인내역을 살펴봐야 한다.

한국금융감독원은 해외 카드정보 탈취 피해 예방 안내에서 정보가 탈취됐다면 즉시 카드사에 신고하고, 결제알림 서비스를 활용해 부정사용을 빨리 파악하라고 권고하고 있다. 일본 경찰청도 무단 접속 피해를 입은 서비스에 카드정보를 넣었다면 카드사에 빨리 연락하라고 안내한다.

유출 대상이라고 통지 받거나 본인이 결제하지 않은 내역을 발견했다면 카드사에 사고 사실을 알리고 이용정지·재발급 같은 필요한 조치를 해야 한다. 예약 확인이나 환불을 명목으로 카드정보 재입력을 요구하는 메시지가 오더라도, 메시지 속 링크 대신 업체 공식 사이트와 카드사 창구를 통해 사실을 확인하는 것이 안전하다.