Expedia 해킹: 공급망 공격 확인

Expedia가 해킹당했나요?

그렇습니다. Expedia Group은 2026년 11월 12일, 다른 기업에도 피해를 준 공급망 공격으로 침해된 제3자 데이터 플랫폼 공급업체를 통해 공격자가 자사 시스템에 접근했다고 확인했습니다 ^[1].

Expedia는 여행 업계 전문 매체 Skift에 보낸 성명에서 “보안 연구자들이 보고한 공급망 공격을 알고 있다”고 밝혔습니다 ^[1]. Skift에 따르면 Expedia는 공격자가 제3자 데이터 플랫폼 공급업체를 침해하고 그 접근 권한으로 여러 기업에 접근했다고 설명했습니다 ^[1]. Skift는 또한 Expedia가 문제를 인지하는 즉시 차단했으며 외부 보안 전문가와 함께 조사 중이고 자사 플랫폼은 여행객과 파트너에게 계속 안전하다고 말했다고 전합니다 ^[1].

Expedia가 밝히지 않은 내용도 그만큼 중요합니다 ^[1].

• 침해된 업체의 이름을 밝히지 않았습니다.
• 고객 정보가 노출되었는지, 노출되었다면 무엇인지 밝히지 않았습니다.
• 피해자 수를 밝히지 않았습니다.

이번 확인은 여러 사이버 보안 매체가 n0n이라는 갈취 조직이 Expedia 데이터를 훔쳤다고 주장했다고 보도한 뒤에 나왔습니다 ^[1]. Expedia Group은 Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz, Trivago 등의 브랜드를 운영합니다 ^[5].

n0n 조직은 어떤 데이터를 가졌다고 주장하나요?

n0n은 주로 고객 기록으로 이루어진 1테라바이트가 넘는 Expedia 데이터를 훔쳤다고 주장하지만, 어떤 수치도 Expedia가 확인한 바 없습니다 ^[5][1]. Cybernews에 따르면 이 조직은 Expedia가 합의에 이르지 않으면 데이터를 공개하겠다고 위협했으며 ^[4], Skift는 다크웹 페이지에 구체적인 몸값 요구가 나와 있지 않다고 지적합니다 ^[1].

Cybernews와 Cyber Daily가 보도한 이 조직의 주장 내용은 다음과 같습니다 ^[4][5].

• 800개 파일에 걸친 로열티 프로그램 데이터 830,069,282행. 35개 프로그램의 이메일 주소, 회원 ID, 21개 통화로 된 포인트 잔액, 예약 금액이 들어 있다고 합니다.
• 이메일 주소, 계정 생성일, 출발 공항이 담긴 여행객 프로필 약 5,800만 행.
• 계정 ID와 이메일 주소를 “비밀번호 같은 토큰”과 짝지은 소비자 계정 기록 약 3.33억 건.
• 주문 번호, 일정 ID, 예약 금액이 담긴 예약 이벤트 파일과 여행 기록 22-23백만 건.
• 500,000건에 가까운 투숙객 커뮤니케이션 기록.

행 수는 사람 수와 같지 않습니다. 한 사람이 여러 행과 파일에 나타날 수 있기 때문입니다. 이 조직은 소스 코드와 운영 클라우드 시스템에도 접근했다고 주장했습니다 ^[4].

Expedia 데이터가 유출되었나요?

Cyber Daily는 2026년 11월 12일 n0n이 주장하는 데이터 세트의 일부를 다크웹에 공개했다고 보도했습니다 ^[5]. 압축 파일에는 폴더 11개가 들어 있으며, 여행 데이터와 연결된 수십만 개의 이메일 주소가 로그인 정보, 호텔 투숙, 커뮤니케이션, 여행객 사용자 ID와 포인트 합계 같은 로열티 정보와 함께 나열되어 있습니다 ^[5].

두 가지 주의할 점이 있습니다 ^[5].

• Have I Been Pwned에 따르면 여러 이메일 주소는 이전 유출 사고에서 이미 나타났지만, 그렇지 않은 주소도 많았습니다.
• 여러 파일의 날짜 범위로 보아 데이터가 최신이 아니라 과거의 것일 수 있습니다.

Cyber Daily는 Expedia가 해커들의 구체적인 주장에 대한 논평을 거절했다고 전했습니다 ^[5]. Cyber Daily는 n0n의 11월 3일 유출 게시물을 최초 주장으로 인용합니다 ^[5]. Expedia나 독립 조사기관이 조사 결과를 발표하기 전까지는 유출의 규모와 최신성은 확인되지 않은 상태입니다.

Expedia 공급망 공격은 어떻게 이루어졌나요?

Expedia는 제3자 데이터 플랫폼 공급업체가 침해되어 신뢰된 접근 권한이 악용되었다고만 밝혔습니다 ^[1]. 보안 연구자들은 클라우드 데이터 플랫폼인 Qubole이 관련된 공격 캠페인을 별도로 기록했으며, Skift에 따르면 연구자들은 Expedia를 피해 고객으로 공개 거명하지 않았습니다 ^[1].

클라우드 보안 업체 Wiz는 Sentra, Mandiant와 협력해, 2026년 10월 14일부터 26일 사이에 공격자가 빅데이터 플랫폼 Qubole과 연관된 AWS 계정의 IAM 자격 증명을 사용해 고객들이 Qubole을 신뢰하도록 만들어 둔 역할을 맡았다고 보고했습니다 ^[3]. 내부에 들어간 공격자는 리소스를 나열하고, AWS Secrets Manager, SSM Parameter Store, Lambda 설정에서 비밀 정보를 수집하고, TruffleHog 도구로 탈취한 키를 시험하고, S3 스토리지 버킷에서 데이터를 내려받았습니다 ^[3][2].

Wiz에 따르면 사용된 역할 대부분은 평소에 쓰이지 않는 것이었고, 신뢰 정책이 그대로 남아 있어 요청이 성공했습니다 ^[3]. Sentra는 Qubole의 전 고객들이 자신이 부여한 접근 권한을 한 번도 취소하지 않았음을 발견했고, 수십 곳의 피해자를 확인했으며 한 고객에게서만 수백만 개의 파일이 빠져나갔다고 밝혔습니다 ^[1][2]. Qubole은 한때 Expedia의 협력업체였지만, Expedia는 이번 침해가 관련이 있는지 확인하지 않았습니다 ^[1].

AWS는 BleepingComputer에 자사 서비스가 “이 문제로 침해되지 않았고 설계대로 작동했다”고 밝혔으며, 공격자는 제3자 공급업체와 연결된 자격 증명을 사용했다고 설명했습니다 ^[2].

Expedia 고객은 지금 무엇을 해야 하나요?

고객에게 가장 가능성이 높은 위험은 표적 피싱입니다. 보안 연구자들은 사기범이 예약 정보를 이용해 그럴듯한 메시지를 보낼 수 있다고 경고합니다 ^[4]. 지금까지 알려진 내용에 따른 조치는 다음과 같습니다.

1. 예상하지 못한 예약 관련 메시지를 의심하세요. 특히 실제 여행, 포인트 잔액, 로열티 등급을 언급하며 결제를 요구하거나 카드를 “확인”하라고 하거나 링크로 로그인하라는 메시지가 그렇습니다 ^[4].
2. Expedia 앱을 열거나 웹사이트 주소를 직접 입력하세요. 이메일, 문자, WhatsApp 메시지의 링크를 따라가지 마세요. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes에서 위험 신호를 다룹니다.
3. 다른 곳에서도 같은 비밀번호를 쓴다면 바꾸세요. 이 조직이 “비밀번호 같은 토큰”을 보유하고 있다고 주장하기 때문이며 ^[4], 고유한 비밀번호는 피해를 줄여 줍니다.
4. 여행 계정에서 제공한다면 2단계 인증을 켜세요. Two-Factor Authentication Explained: Which 2FA Method Is Safest?에서 어떤 방식이 가장 강력한지 설명합니다.
5. 내 이메일이 알려진 유출 사고에 나타나는지 확인하세요. Cyber Daily는 Have I Been Pwned를 사용해 유출된 이메일을 비교했습니다 ^[5]. Was My Data Leaked? How to Check and What to Do After a Data Breach에서 다음에 할 일을 설명합니다.

유출 이후의 여행 피싱은 가정이 아닙니다. Booking.com이 2026년 4월 고객 예약 데이터 유출을 공개한 뒤, 고객들은 자신의 예약을 언급하는 피싱 이메일, 전화, WhatsApp 메시지를 받았다고 신고했습니다 ^[4].

클라우드 데이터 업체를 쓰는 기업은 무엇을 점검해야 하나요?

관리자는 업체 계정이 예상치 못한 역할을 사용했는지 살펴보고, 더는 필요 없는 신뢰 관계를 제거해야 합니다 ^[2][3].

• 10월 1일 이후의 AWS CloudTrail 로그에서 Qubole의 AWS 계정으로부터 의심스러운 접근이 있었는지 검토하고, 이후의 비밀 정보 및 S3 접근을 조사하세요 ^[2].
• 노출되었을 수 있는 자격 증명을 교체하고 활성 역할 세션을 취소하세요 ^[2].
• 사용하지 않는 연동을 제거하고, 남은 역할의 권한, 신뢰하는 ID, 허용된 출발 네트워크를 제한하세요 ^[2].
• Wiz가 공격자가 일관되게 사용하는 것을 확인한 “quiam-”으로 시작하는 역할 세션 이름(예: quiam-enum)을 찾아보세요 ^[3].

AWS 자체의 권고는 교차 계정 IAM 역할을 정기적으로 검토하고, 더는 쓰지 않는 연동의 접근 권한을 제거하고, 최소 권한을 부여하고, 역할 신뢰 정책에 출발 IP 제한 같은 조건을 추가하라는 것입니다 ^[2]. Sentra는 공격자가 7분 만에 비밀번호와 키 100개의 속도로 비밀 정보를 수집하는 것을 관찰했으며, 따라서 빠른 탐지가 중요합니다 ^[2].

갈취 조직 n0n은 누구인가요?

Cyber Daily에 따르면 n0n은 2026년 9월에 등장한 비교적 새로운 갈취 행위자로, 10월 한 달에만 204개 피해자를 주장했습니다 ^[5]. 11월에는 12일 현재까지 100곳이 넘는 피해자를 추가로 올렸으며, 상당수는 유출 사이트에 번호로만 표시되어 있습니다 ^[5].

Cyber Daily가 인용한 보안 업체 SOCRadar는 2026년 9월 n0n 운영자와 연결된 노출된 스테이징 서버를 발견했다고 밝혔습니다. 이 서버에서는 도구, 갈취 인프라, 그리고 7,000달러가 넘는 유료 AI 모델 사용량으로 뒷받침되는 AI 코딩 에이전트 환경이 드러났습니다 ^[5]. 이러한 에이전트가 어떻게 작동하는지는 What Are AI Agents? How They Work, What They Can Do and Where They Fail에서 설명합니다. SOCRadar는 n0n이 알려진 취약점이 아니라 탈취한 자격 증명에 의존하며 익스플로잇 페이로드나 CVE 참조를 찾지 못했다고 밝혔습니다. 확인된 침투 경로로는 VPN 포털에 대한 크리덴셜 스터핑, 취약한 원격 접속 비밀번호, 노출된 AWS 키가 있습니다 ^[5].

Cyber Daily에 따르면 일부 위협 인텔리전스 분석가들은 이 조직의 주장을 의심했지만, 전통적인 랜섬웨어 조직이 아니더라도 지금은 많은 이들이 이를 심각한 신흥 위협으로 봅니다 ^[5].

앞으로 어떻게 될까요?

핵심적인 미해결 질문은 어떤 업체가 침해되었는지, 실제로 어떤 데이터가 노출되었는지, Expedia가 피해 고객에게 통지할지 여부입니다 ^[1]. 지금까지 Expedia는 고객 데이터가 관련되었다고 밝힌 적이 없습니다 ^[1].

세 가지를 지켜보세요. Expedia가 고객이나 규제 당국에 보내는 공식 통지, 외부 조사 기관의 조사 결과, 그리고 보안 연구자들이 Expedia 사고를 Qubole 캠페인과 연결하는지 여부입니다 ^[1][3]. 그때까지는 온라인에 돌아다니는 대규모 기록 수는 공격자들의 주장으로 취급해야 합니다 ^[4][5].