스카이티켓 침해로 1,460만 건의 기록, 410만 개의 비밀번호, 17,780개의 은행 계좌가 노출되다

2026년 10월 9일, 일본의 비교 예약 사이트 스카이티켓을 운영하는 어드벤처 주식회사는 세 가지 별개의 비인가 경로를 통해 고객 데이터가 유출되었다고 발표했다. 가장 큰 사안은 10월 2일부터 4일 사이에 스카이티켓의 관리자 기능이 조작되어 다른 서버와 클라우드에 저장된 데이터에 접근한 것으로, 약 1,464만 건의 고객 기록—여권에 기재된 이름, 생년월일, 이메일, 전화번호, 우편 주소, 은행 송금 의뢰인 이름—에 영향을 미쳤으며, 그중 약 413만 건에는 회원의 해시 처리된 로그인 비밀번호가 포함되어 있었다.

두 번째 사안은 9월 20일 비즈니스 관리 시스템을 악용된 취약점을 통해 공격한 것으로, 9월 28일에 발견되었다. 중복을 포함한 17,780건의 환불 은행 계좌 정보—은행, 지점, 계좌번호, 예금주 이름—가 해당된다. 세 번째 사안은 버스 예약 완료 페이지가 로그인 없이 열람 가능했고, 8월 3일부터 10월 1일 사이에 기계적으로 열람되어 동반자의 이름, 나이, 성별을 포함한 약 12,000건의 예약이 노출되었다. 회사는 자체적으로 저장하지 않는 신용카드 번호와 여권 이미지는 유출되지 않았다고 확인했다.

발견 시점은 9월 28일, 10월 1일, 10월 5일로 각각 달랐고 대응도 마찬가지로 분산되었다. 회사는 10월 7일 18시에 저장된 카드로 결제를 중단하고 카드 저장 기능을 비활성화했으며, 10월 8일 약 19시부터 영향을 받은 고객에게 이메일을 보냈고, 10월 9일 전체 공지를 게시하며 유출 이후 가짜 '환불' 메시지가 뒤따를 것이라고 경고했다.

해시 처리된 비밀번호 413만 개를 포함한 약 1,464만 건의 기록, 환불 은행 계좌 17,780건, 버스 예약 약 12,000건, 카드 저장 기능 비활성화.

서버 침입은 조작된 관리자 기능에서 시작되었다. 즉 공개 스토어프론트가 아니라 권한이 부여된 내부 도구가 진입점이었다.

환불 은행 정보는 악용 가능한 취약점이 있는 비즈니스 관리 시스템에 있었으며, 가장 위험한 필드를 담고 있는 보조 데이터 저장소였다.

버스 완료 페이지는 로그인을 요구하지 않고 전체 예약 데이터를 렌더링했기 때문에 대량 열람에 자격 증명이 전혀 필요하지 않았다.

악용된 관리자 기능, 패치되지 않은 비즈니스 시스템, 로그인 없이 열람 가능한 채로 남겨진 예약 페이지. 고객 데이터의 모든 보조 저장소는 그 자체로 공격 표면이다.

어드벤처는 탐지 후 접근 경로를 차단했으며 조사를 계속하고 정보 관리를 강화하고 있다고 밝혔다. 일본 개인정보보호위원회는 10월 7일 대규모 데이터 유출에 대해 경고했고, 국가사이버보안실은 10월 9일 기업들에 최근 여러 건의 대규모 개인정보 탈취가 있었다고 전했다. 회사는 고객에게 진짜 연락처는 info@skyticket.com뿐이며 금전, 비밀번호, PIN을 절대 요구하지 않는다고 알렸다. 이는 이름, 주소, 버스 이동 경로의 유출이 가능하게 하는 피싱 물결을 예상한 것이다. 과징금은 아직 발표되지 않았다.