무슨 일이 있었나
2026년 10월 9일, 베이코트 클럽, XIV 등 회원제 호텔·리조트를 운영하고 회원용 의료 서비스도 제공하는 일본의 **리조트트러스트(Resorttrust)**가 웹사이트 무단 접근으로 개인정보가 유출됐다고 공개했습니다.
- 그룹 회원 기록 약 2만 6천 건
- 더 카할라 호텔 & 리조트 요코하마 예약 기록 약 3만 6천 건
유출되지 않은 것
공지에 따르면 이용 이력, 의료 정보, 신용카드 정보, 은행 계좌, 이메일 주소, 신분 증명 서류는 포함되지 않았습니다. 그룹이 건강검진 등 의료 사업도 하고 있어 그쪽이 유출됐다면 훨씬 심각했을 것이므로 중요한 점입니다.
투자자 공시에서 회사는 정확히 어떤 항목이 노출됐는지, 공격자가 어떻게 침입했는지는 공개하지 않았습니다. 조사는 계속되고 있습니다.
회사의 대응
- 외부 보안 전문가와 함께 원인을 조사
- 영향받은 시스템의 취약점 수정, 모니터링 강화, 접근 권한 재검토
- 피해자에게 개별 연락, 사과와 상황 설명
- 그룹 전체의 정보보안 체계 재구축
- 재무 영향은 아직 불명이며, 드러나면 공시 예정
배경: 일본의 힘든 한 주
이 사건은 로손, 북오프, skyticket, IDC 프런티어 클라우드 랜섬웨어 등 10월 초 일본에서 잇따라 발표된 유출 사고에 이어진 것입니다. 공통 패턴은 인터넷에 노출된 고객용 사이트와 앱에 데이터를 대량으로 빼낼 수 있는 결함이 있었다는 점입니다.
고객이 할 일
- 예약이나 회원 자격을 언급하는 이메일, 문자, 전화를 경계하세요. 정보가 정확해도 마찬가지입니다. 유출 데이터는 그럴듯한 사기에 쓰입니다.
- 연락이 오면 회사의 공식 채널로 확인하세요.
- 전화나 받은 링크로 비밀번호나 카드 정보를 알려주지 마세요.
기업을 위한 교훈
- 예약 사이트, 회원 영역, 레거시 시스템 등 인터넷에 노출된 모든 것을 목록화하세요.
- 네트워크뿐 아니라 웹 애플리케이션에도 정기적으로 모의 해킹을 하세요.
- 최소 권한을 적용하세요: 웹사이트가 고객 DB 전체를 읽을 수 있어서는 안 됩니다.
- "무엇이, 누구 것이 나갔는지"에 빨리 답할 수 있도록 접근 로그를 충분히 남기세요.
출처
- Japan IR, 리조트트러스트 공시(2026.10.9): https://japanir.jp/en/company/company-4681/ir/4681-20261009-01_wp_disclosure_update/
웹사이트와 고객 시스템의 보안을 점검하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com