외부 공급망 침해로 Expedia 고객 정보 3억 3,300만 건 유출 주장…호텔이 점검할 보안 허점

외부 공급망 침해로 Expedia 고객 정보 3억 3,300만 건 유출 주장…호텔이 점검할 보안 허점

1. 익스피디아, 외부 공급업체 경유 공격 확인함

• 익스피디아 그룹은 제3자 데이터 플랫폼 제공업체가 침해돼 신뢰된 접근 권한으로 자사 시스템에 접근한 공급망 공격이 있었다고 2026년 11월 13일 확인함
• 회사는 여행객과 파트너가 플랫폼을 계속 안전하게 이용할 수 있다고 밝혔으나, 공급업체명과 접근·유출된 정보의 종류 및 규모는 공개하지 않음

2. 해커 조직의 대규모 계정정보 보유 주장은 미확인 상태임

• n0n이라는 갈취 조직은 익스피디아 소비자 계정 기록 3억 3,330만 건을 보유했다고 주장하며, 계정 ID·이메일 주소와 비밀번호 유사 토큰이 포함됐다고 주장함
• 합의하지 않으면 정보를 공개하겠다고 위협했으나, 해당 수치와 실제 유출 범위는 독립적으로 확인되지 않았고 호텔·파트너 데이터가 포함됐다는 증거도 제시되지 않음

3. 공격 경로로 지목된 Qubole 사례와 익스피디아의 연관성은 확정되지 않음

• 보안업체 Wiz와 Sentra는 11월 9일 클라우드 데이터 플랫폼 Qubole을 통한 공격 사례를 공개했으며, 공격자는 10월 14~26일 고객사의 클라우드 시스템에 접근해 데이터를 내려받은 것으로 파악됨
• Sentra는 피해 조직이 12곳 이상이라고 집계했으며, 사용을 중단한 뒤에도 남아 있던 Qubole의 접근 권한이 악용된 것이 핵심 원인으로 지목됨
• 익스피디아는 공급업체가 Qubole이라고 밝히지 않았고, 두 보안업체도 익스피디아를 피해 기업으로 특정하지 않음

4. 호텔은 고객·예약정보 노출 여부 확인과 접근권한 점검이 필요함

• 호텔은 익스피디아 담당자에게 투숙객 및 파트너 데이터가 관련됐는지, 확인 시 파트너에게 직접 통지할 것인지 문의해야 함
• 고객이 익스피디아 예약정보를 인용한 의심 메시지를 받으면 호텔 프런트에 먼저 알릴 수 있어 현장 대응 절차도 준비해야 함
• 익스피디아·부킹닷컴 엑스트라넷, 숙박시설 관리 시스템, 예약 엔진에서 사용자와 업체 목록을 확인하고, 퇴사자·계약 종료 업체·교체한 채널매니저 등 불필요한 계정을 제거해야 함

🔑 시사점

• 호텔의 사이버 보안은 현재 사용 중인 시스템뿐 아니라 과거 공급업체와 퇴사자에게 남아 있는 접근 권한까지 관리해야 함
• 예약·투숙 정보가 실제로 유출됐는지 확인되기 전이라도 권한 회수와 사용자 목록 점검을 즉시 시행하고, 공급망 사고 시 파트너 통지 및 고객 문의 대응 기준을 마련해야 함