AI(Claude) 악용한 해커, 숙박업체 해킹으로 고객 정보 210만 건 유출
러시아 해커가 인공지능을 악용해 전 세계 숙박업체들을 공격하여 수백만 건의 고객 개인정보를 탈취하고 결제 기록까지 유출하는 사고가 발생했습니다. 이번 사건은 인공지능을 활용한 해킹의 정교함을 보여주며, 숙박업계는 향후 단순한 보안 강화를 넘어 예약 데이터 공급망 전체를 아우르는 통합적 관리 체계 구축과 선제적인 보안 투자가 필수적인 경영 과제가 되었습니다.
AI(Claude) 악용한 해커, 숙박업체 해킹으로 고객 정보 210만 건 유출
1. 러시아 해커의 AI 기반 숙박업체 해킹 사건 개요
- 러시아 해커가 HexStrike AI와 Anthropic의 Claude를 결합해 숙박업체 플랫폼을 공격하여 210만 개의 이메일 주소 등 개인정보를 유출함
- 해커는 악의적 공격을 합법적인 침투 테스트(Penetration Testing)로 위장하여 AI의 안전 가드레일을 우회함
- 2026년 4월 16일 연구팀이 해커의 공개된 서버를 발견했으나, 해커가 이를 인지하고 서버를 비공개로 전환하여 전체 피해 규모는 파악 중임
2. 해킹 대상 및 유출된 데이터 상세
- RoomScope(태국): 640만 개의 예약 기록, 110만 개의 이메일 주소 및 연락처 정보 포함
- NebulaPMS(남아공): 투숙객 성명, 이메일, 전화번호, 투숙 기간, 호텔명 포함 200만 건의 기록 유출
- Staysee(일본): 예약 데이터 외에도 예약 번호, 결제 방식, 결제 금액이 포함된 31,000건의 결제 기록 및 49,000건의 상품 구매 기록 유출
- IGMS(캐나다): 호스트 연락처, 투숙 기간, 주소 외에 일부 숙소의 와이파이 비밀번호까지 유출됨
3. 해킹 방식 및 AI 악용 사례
- 해커는 HexStrike AI를 활용해 침투 테스트를 자동화하고 취약점을 탐색함
- 서버 내에서 숙박업체를 대상으로 한 최소 50건 이상의 침투 테스트 보고서와 소스 코드, 데이터 추출 결과가 발견됨
- Claude 설정 파일에서 해커의 개인 이메일이 발견되어 러시아 국적자임이 확인됨
4. 숙박업체 해킹이 투숙객에게 미치는 위험성
- 유출된 투숙객 성명, 예약 번호, 여행 일정 정보를 결합하여 매우 정교한 피싱 공격이 가능함
- 호텔을 사칭한 안내 메시지나 예약 변경 요청 등으로 위장하여 금전적 피해나 추가적인 멀웨어 설치 유도
- 투숙객들은 예약 취소 등을 우려하여 사칭 메시지에 순응할 가능성이 매우 높아 2차 피해 위험이 큼
5. 피해 기업의 대응 및 향후 과제
- NebulaPMS는 2026년 3월 해킹 사실을 인지한 후 보안 점검 및 추가 침투 테스트를 수행함
- 비밀번호 정책 강화 및 보안 표준 도입 등 인프라 보호 조치를 시행 중
- 피해 기업들은 보안 담당자 확충 및 공격 표면 최소화를 위한 근본적인 보안 투자가 필수적임
🔑 시사점
- AI 도구의 발전은 보안 공격의 자동화와 고도화를 촉진하고 있어 기존의 가드레일 정책만으로는 방어에 한계가 있음
- 숙박업체는 예약 플랫폼, PMS, 소프트웨어 공급업체 등 방대한 데이터 공급망 전체에 대한 통합적인 보안 관리 체계가 필요함
- 피싱 공격의 정교화로 인해 투숙객이 실질적인 피해를 볼 가능성이 매우 높아, 고객 대상 보안 교육 및 안내가 숙박 서비스의 일부로 정착되어야 함
- 호텔 및 관련 기업들은 보안 위협을 단순한 IT 문제가 아닌 서비스의 신뢰성과 직결된 핵심 경영 리스크로 인식하고 선제적인 보안 투자를 집행해야 함
연관 포스트
APAC 여행 시장을 재정의하는 10가지 구조적 변화
아시아 태평양 지역 여행 시장은 인구 구조 변화와 지정학적 리스크에 따라 재편되고 있으며, 철도 및 단기 임대 숙박업의 구조적 성장과 함께 운영 효율성을 중시하는 투자 기조가 확산되고 있습니다. 이에 따라 업계는 시장 다변화와 더불어 핀테크 인프라를 활용한 고객 경험 개선 및 디지털 생태계 내에서의 브랜드 접점 확보를 통해 수익성을 높이는 전략을 취해야 합니다.
호스피탈리티 업계 전문가들이 경고하는 AI의 부작용과 과제
호텔 산업의 인공지능 도입은 운영 효율성을 높이지만 환경적 부담과 브랜드 개성 상실, 보안 리스크 등 다양한 부작용을 동반합니다. 따라서 호텔 업계는 기술 활용에 따른 환경적 책임을 투명하게 공개하고, AI 기반의 획일성을 경계하며 인간 고유의 감성 서비스를 강화하는 하이브리드 전략을 통해 지속 가능한 발전을 도모해야 합니다.
메리어트의 구글 AI 파트너십이 시사하는 여행 산업의 미래: '발견'과 '예약'의 분리
메리어트는 구글 AI 환경 내에서 직접 예약이 가능한 우선 검색 경험을 도입하며 전통적인 호텔 고객 확보 방식을 전략적으로 재편합니다. 이번 파트너십은 OTA 수수료를 절감하는 효과가 있으나, 검색과 예약의 통합으로 인해 플랫폼 내 고객 행동 데이터를 구글이 독점하게 되면서 호텔 브랜드가 데이터 주권을 잃고 플랫폼에 종속될 위험을 안고 있습니다.