골프장 예약 앱 두 곳에서 사흘 사이에 개인정보 유출이 확인됐습니다. 골프몬은 2026년 10월 4~5일 이름·전화번호·닉네임이 외부로 유출됐다고 8일 공지했고, 카카오 VX가 운영하는 카카오골프예약은 7일 국내 투어 예약 고객 약 3만 4천 명의 예약·숙박·결제 내역이 유출된 사실을 확인했어요. 이름과 전화번호만 유출된 사고와 결제 내역까지 유출된 사고는 이용자가 경계해야 할 연락이 달라요.

카카오 VX 로고 카카오 VX 로고

사건 경과

골프 예약 앱 두 곳의 유출 경과 타임라인 골프 예약 앱 두 곳의 유출 경과 타임라인 — 출처: 골프몬 · 카카오 VX 공지 기반 자가 렌더

보안뉴스에 따르면 골프몬은 10월 6일 홈페이지에 대한 비정상적인 외부 접근을 인지했고, 내부 조사로 4~5일 이틀 동안 고객 정보가 유출된 사실을 확인했어요. 회원에게는 8일 「개인정보 유출 통지 및 사과문」을 보냈고, 한국인터넷진흥원(KISA)과 사이버수사대에 신고했어요.

카카오 VX는 7일 외부의 비인가자가 비정상적인 방법으로 카카오골프예약에서 고객 정보를 탈취한 사실을 확인했고, 8일 홈페이지에 안내문을 올렸어요. 조선비즈 보도에 따르면 개인정보보호위원회와 KISA에도 신고했어요.

  • 골프몬 유출 기간: 10월 4~5일, 인지 6일, 통지 8일
  • 카카오골프예약 유출 확인: 10월 7일, 공지 8일
  • 카카오골프예약 대상: 2025년 1월부터 2026년 10월까지 국내 투어 상품을 예약한 고객 약 3만 4천 명
  • 골프몬 피해 인원: 회사가 밝히지 않아 확인되지 않음

두 회사 모두 침입 경로는 공개하지 않았어요. 같은 공격자가 두 곳을 노렸는지도 확인된 바가 없어요.

유출 항목 비교

두 사고는 피해 규모보다 무엇이 유출됐는지가 크게 달라요. 골프몬은 이름·전화번호·닉네임에 한정됐고, 카카오골프예약은 언제 어느 골프장을 얼마에 예약했는지까지 유출됐어요.

항목 골프몬 카카오골프예약
이름·전화번호 유출 유출
닉네임 유출 해당 없음
상품명·라운드 일자 해당 없음 유출
숙박 정보 해당 없음 유출
결제 금액·주문번호 해당 없음 유출
결제·취소 일시 해당 없음 유출
가상계좌번호 해당 없음 유출
비밀번호 제외(회사 발표) 발표 항목에 없음

카카오 VX는 카드번호와 주민등록번호 같은 고유식별정보는 포함되지 않았다고 밝혔어요. 카카오골프예약 쪽 비밀번호는 공지 항목에 없을 뿐 포함 여부를 따로 밝히지 않았어요.

가상계좌번호는 결제할 때 고객마다 발급되는 입금용 번호라, 이 번호만으로 고객 계좌에서 금액이 인출되지는 않아요. 다만 실제로 받았던 번호와 결제 금액을 공격자가 알고 있으면, 「입금이 확인되지 않았다」·「차액을 보내 달라」는 연락이 실제 안내처럼 보일 수 있어요.

골프몬, 2년 만의 두 번째 유출

골프몬 로고 골프몬 로고

골프몬은 2024년 10월 중순에도 해킹으로 회원 정보가 유출됐어요. 그때는 비밀번호가 포함됐고, 회사는 암호화돼 있어 복호화할 수 없다는 입장이었어요.

항목 2024년 10월 2026년 10월
이름·전화번호 유출 유출
성별 유출 해당 없음
비밀번호 유출(암호화) 제외
닉네임 해당 없음 유출
피해 인원 미공개 미공개

2024년에 유출된 비밀번호는 암호화돼 있었지만, 그 비밀번호를 다른 사이트에서도 사용하고 있다면 바꿔야 해요.

ISMS 인증 범위 안에서 일어난 사고

카카오 VX 정보보호 관리체계(ISMS) 인증서, 인증 범위에 카카오골프예약 포함 카카오 VX 정보보호 관리체계(ISMS) 인증서, 인증 범위에 카카오골프예약 포함 — 출처: Kakao VX

카카오 VX 홈페이지 하단에 게시된 정보보호 관리체계(ISMS) 인증서를 보면 인증번호는 ISMS-KISA-2023-154, 인증 범위는 프렌즈 스크린·카카오골프예약·카카오프렌즈 골프·스마트홈트를 포함하는 온라인 서비스 운영이에요. 유효기간은 2023년 11월 1일부터 2026년 10월 31일까지라, 이번 사고는 인증 기간 안에 인증 범위에 포함된 서비스에서 발생했어요.

ISMS는 KISA가 심사하는 관리체계 인증으로, 정해진 보호 절차를 갖췄는지를 심사하는 제도라서 침해가 일어나지 않는다는 보증은 아니에요. 인증서에 적힌 유효기간대로라면 카카오 VX 인증은 2026년 10월 31일 만료돼요.

카카오 VX는 2020년 2월에도 웹사이트 해킹으로 개인정보 1만 20건이 유출됐고, 2021년 1월 개인정보보호위원회가 안전조치 의무 위반으로 과태료 600만 원을 부과했어요.

반복 위반 과징금 쟁점

2026년 9월 11일 시행된 개정 개인정보보호법은 최근 3년 안에 고의나 중대한 과실로 위반을 반복한 경우, 1,000만 명 이상 피해가 난 경우, 시정명령을 따르지 않아 사고가 난 경우에 기존 매출 3% 수준이던 과징금 상한을 전체 매출액의 최대 10%로 상향했어요.

골프몬은 2024년 10월과 2026년 10월, 2년 사이에 사고가 두 번 발생했지만, 그것만으로 가중 과징금 대상이 되지는 않습니다. 개인정보보호위원회가 두 사고 각각에서 안전조치 의무를 위반했는지, 고의나 중과실이 있었는지를 따로 판단해야 하고, 그 결과는 아직 발표되지 않았어요.

카카오 VX의 이전 처분은 2021년 1월이라 3년 기간을 벗어나 있어요.

개정법은 유출이 확정되기 전이라도 가능성을 알게 되면 바로 이용자에게 통지하도록 의무를 개정했어요. 골프몬은 인지 이틀 뒤, 카카오 VX는 확인 하루 뒤에 공지했어요.

2차 피해 유형

예약 정보를 미끼로 한 스미싱 개념 컷 예약 정보를 미끼로 한 스미싱 개념 컷 — 출처: 개념 컷 · agy 자가 생성

이번 유출로 바로 계좌에서 돈이 인출되는 구조는 아니에요. 위험은 유출된 정보를 근거로 한 연락에 있어요.

[예약 변경 안내 문자] 라운드 일자·골프장 이름을 정확히 적은 「티타임 변경」 문자와 링크

[환불·차액 입금 요구] 실제 결제 금액과 가상계좌번호를 언급하며 다른 계좌로 송금 유도

[숙박 예약 확인 전화] 투어 상품의 숙박 정보를 제시하며 본인 확인용 인증번호 요구

[골프몬 회원 대상 스팸] 이름·전화번호·닉네임으로 개인화한 광고·도박성 문자

카카오골프예약 이용자에게 오는 연락은 실제 예약 내역과 일치할 수 있어서, 내용이 맞는다는 이유로 정상 안내라고 볼 수 없어요. 두 회사 모두 출처가 불분명한 링크를 누르지 말고 개인정보·인증번호 요구에 응하지 말라고 당부했어요.

이용자와 운영자가 할 일

이용자 조치 정리 카드 이용자 조치 정리 카드 — 출처: 카카오 VX · 골프몬 공지 기반 자가 렌더

카카오골프예약 이용자는 카카오골프예약 홈페이지에서 자신의 정보가 유출됐는지 조회할 수 있고, 카카오 VX는 전담 상담센터를 운영하며, 카카오 VX 홈페이지에 적힌 카카오골프예약 고객센터 번호는 1668-3819입니다. 골프몬은 별도 조회 메뉴를 밝히지 않았고, 회원에게 보낸 통지 메일이 확인 수단이에요.

한국인터넷진흥원 로고 한국인터넷진흥원 로고

의심스러운 문자를 받았거나 피해가 발생하면 KISA 개인정보침해 신고센터(국번 없이 118)에서 상담받거나 신고할 수 있어요.

🔗 링크 첨부 - https://privacy.kisa.or.kr

두 회사 모두 침입 경로를 공개하지 않았고, 골프몬은 피해 인원도 밝히지 않았어요. 카카오 VX는 외부 IP 차단과 보안정책 신규 적용 등 긴급 조치를 마쳤다고 밝혔고, 골프몬은 접근 경로를 차단하고 서버 보안 점검을 진행 중이라고 했어요. 침입 경로와 피해 인원은 개인정보보호위원회 조사 결과로 확인될 예정입니다.

참고 출처