[보안 이슈] 파르나스 리워즈가 뚫렸습니다 — 예약 이력 있다면 ‘이 문자’부터 조심하세요

무슨 일이 있었나

파르나스호텔앤리조트에 따르면 2026년 9월 24일부터 25일 사이 권한 없는 제3자가 불법적으로 회원 개인정보 일부에 접근했습니다. 회사가 침입을 처음 인지한 시점은 9월 27일 0시경이며, 이틀 뒤인 29일 당국 신고를 완료했습니다.

파르나스 리워즈는 웨스틴 서울 파르나스, 그랜드 인터컨티넨탈 서울 파르나스, 인터컨티넨탈 서울 코엑스, 파르나스 제주, 나인트리 계열을 아우르는 통합 회원 서비스입니다. 이 브랜드 중 한 곳이라도 가입·예약했다면 대상이 될 수 있습니다. 정확한 유출 규모는 개보위·KISA가 조사 중이라 아직 확정되지 않았습니다. 규모가 안 나왔다는 건 “적다”가 아니라 “아직 확인 중”이라는 뜻이니, 발표를 기다리지 말고 지금 대응하는 편이 안전합니다.

어떤 정보가 유출됐나 — ‘예약정보’가 진짜 문제입니다

현재까지 알려진 유출 항목은 아래와 같습니다. 다만 구체적으로 몇 개 항목이 유출됐는지는 아직 공식적으로 발표된 바가 없어 유관기관이 조사 중인 단계입니다.

주민등록번호, 신용카드 정보, 계좌정보, 비밀번호는 유출되지 않은 것으로 확인됐습니다. 그래서 “돈이나 계정은 안전하겠네”라고 넘기기 쉽지만, 진짜 위험은 예약정보에 있습니다.

공격자가 내 이름과 “OO호텔 O월 O일 예약” 정보를 함께 알면 “고객님 예약 건 결제 오류로 취소 예정입니다. 아래 링크로 카드 재확인 바랍니다” 같은 문자를 보낼 수 있습니다. 실제 투숙 계획이 있던 사람은 이걸 사기로 의심하기가 매우 어렵습니다. 무신사·29CM 유출 때도 계정·결제정보는 멀쩡했는데 이름·연락처·배송지가 새어 ‘배송 사칭 문자’가 문제가 됐던 것과 같은 구조입니다. 유출 정보가 정교할수록 낚이기 쉬운 문자가 만들어집니다.

나는 어떻게 해야 하나 — 지금 할 3가지

자주 나오는 궁금증

Q. 비밀번호가 안 털렸다는데 바꿀 필요가 있나요?
파르나스 리워즈 자체는 비밀번호 유출이 없습니다. 다만 여러 사이트에 같은 비밀번호를 쓴다면, 유출된 이메일을 아이디 삼아 다른 사이트 로그인을 시도하는 공격이 있을 수 있으니 중요한 계정만이라도 서로 다른 비밀번호로 바꿔두시길 권합니다. (관련: 95만 뮤팟 유출 시 비밀번호부터 바꿔야 하는 이유)

Q. 예약한 지 오래됐는데 저도 대상인가요?
유출된 것은 멤버십에 쌓인 예약 이력이므로, 과거 가입·예약 기록이 남아 있다면 대상이 될 수 있습니다. 이용이 뜸했더라도 조회는 한 번 해보는 것이 좋습니다.

dailybetter 분석가 Note