야놀자 개인정보 유출 사건

훗날 조사 결과 2014년 3월부터 2016년 8월까지 약 2년 5개월에 걸쳐 야놀자펜션 애플리케이션 이용 고객의 개인정보가 해커에 의해 반복적으로 수집된 것으로 드러났다. 2014년 3월부터 10월까지는 약 1만 명의 이메일 주소와 전화번호 등 800여 건이, 2015년 3월부터 2016년 8월 사이에는 예약자명과 전화번호 등 약 4만 건이 추가로 유출된 것으로 확인됐다. 이 기간 동안 회사 측은 침해 사실을 인지하지 못한 채 서비스를 운영해온 것으로 나타나 보안 관리 체계에 대한 근본적 의문이 제기됐다. 유출된 정보는 이후 온라인상에서 판매 게시물 형태로 발견되며 뒤늦게 피해 규모가 확인됐다. 이 사건은 숙박 예약 플랫폼이 다루는 방대한 개인정보의 보안 관리가 얼마나 취약할 수 있는지를 보여준 초기 사례로 꼽힌다.

2019년 3월 28일 야놀자펜션 애플리케이션이 해킹 공격을 받아 이용 고객 약 7만여 건의 개인정보가 유출된 사실이 언론 보도를 통해 알려졌다. 유출된 정보에는 이메일 주소와 전화번호, 예약자명 등이 포함된 것으로 확인됐으며, 실제로 유출 시점으로부터 1년 뒤에는 온라인상에서 '야놀자펜션' 이용자 정보로 추정되는 판매 게시글이 발견되기도 했다. 야놀자 측은 해킹 공격 사실을 인정하며 한국인터넷진흥원(KISA), 방송통신위원회 등과 공동 대응에 나서겠다고 밝혔다. 회사는 피해 고객에 대한 통지와 보상 방안도 마련하겠다고 약속했다. 그러나 이후에도 유사한 개인정보 관리 부실 문제가 재발하면서 야놀자의 보안 체계에 대한 신뢰는 크게 흔들렸다.

2021년 야놀자는 아마존웹서비스(AWS) 클라우드 환경에서 관리자 접근권한(액세스키)을 특정 IP로 제한하지 않고 운영한 사실이 드러나며 또다시 개인정보 유출 사고를 냈다. 이로 인해 권한이 없는 외부인도 인터넷이 연결된 곳이라면 어디서든 접속해 정보를 열람할 수 있는 상태가 장기간 방치됐던 것으로 확인됐다. 이 사고로 총 5만2132건에 달하는 야놀자 이용자의 개인정보가 유출되거나 제3자에게 열람당한 것으로 파악됐다. 함께 AWS를 이용하던 스타일쉐어, 집꾸미기, 스퀘어랩 등 다른 스타트업 3곳에서도 유사한 방식의 유출 사고가 동시에 확인되며 클라우드 기반 서비스의 공통적인 보안 관리 허점이 도마 위에 올랐다. 이는 2019년 해킹 사고에 이어 야놀자에서 반복적으로 발생한 두 번째 대규모 개인정보 유출 사고였다.

개인정보보호위원회는 2021년 9월 29일 전체회의를 열고 야놀자, 스타일쉐어, 집꾸미기, 스퀘어랩 등 AWS 이용 4개 사업자의 개인정보보호법 위반행위에 대한 제재 처분을 의결했다. 이날 4개사에 부과된 과징금과 과태료는 각각 총 1억8530만원과 8300만원 규모였으며, 이와 함께 시정명령 및 위반사실 공표 등의 조치도 내려졌다. 이 중 야놀자는 5만2132건의 개인정보 유출에 대해 과징금 5690만원과 과태료 3000만원을 부과받았다. 개인정보위는 이들 사업자가 관리자 접근권한을 IP로 제한하는 등 기본적인 보안조치조차 취하지 않은 점을 지적하며 재발 방지를 강력히 주문했다. 이번 제재는 클라우드 환경을 이용하는 국내 스타트업 및 플랫폼 기업들에게 보안 관리 책임을 환기시키는 계기가 됐다.

2019년 해킹에 이어 2021년 클라우드 관리 소홀로 인한 유출 사고까지 잇달아 발생하면서, 국내 대표 숙박 플랫폼인 야놀자의 개인정보 보안 관리 체계에 대한 근본적 신뢰 문제가 다시 도마 위에 올랐다. 업계에서는 이용자 수천만 명의 민감한 예약·개인정보를 다루는 플랫폼 기업이 반복적으로 유사한 유형의 보안 사고를 낸 것은 안일한 대응이라는 비판이 제기됐다. 야놀자는 제재 이후 보안 전담 조직 강화와 클라우드 접근권한 관리 체계 개선 등 후속 조치를 취하겠다고 밝혔다. 그러나 개인정보 유출 사고가 기업의 성장 속도에 비해 보안 투자가 뒤따르지 못한 결과라는 지적도 이어졌다. 이 사건은 이후 국내 플랫폼 기업들의 클라우드 보안 점검을 촉발한 계기 중 하나로 평가된다.