하이타이 (마사지 예약·할인 앱, 운영사 앱튜브)마사지 예약 앱 하이타이, 구버전용 API 악용으로 16만여 명 정보 유출
쉽게 말하면 마사지 예약 앱의 옛 버전용 통로가 뚫려, 이용자 16만여 명의 휴대전화번호와 예약 내역이 샜습니다.
마사지 예약·할인 앱 하이타이에서 9월 해킹으로 이용자 16만 3,743명의 휴대전화번호와 예약 내역이 유출됐습니다. 구버전 앱을 지원하려고 남겨 둔 API의 취약점이 악용됐다고 운영사 앱튜브가 밝혔습니다.
규모 16만 3,743명(고유 휴대전화번호 기준)현황 피해 고객에게 할인쿠폰 보상 안내(10/23)
이 항목은 데일리시큐 보도 한 건과 그 안에서 인용된 회사 안내문에 근거합니다. 다른 매체의 확인이 더 필요합니다.
내가 해당되는지 확인하기
하이타이 이용자(탈퇴 회원 포함)
- 하이타이(앱튜브)의 개별 통지를 확인하세요. 탈퇴 회원도 유출 대상 휴대전화번호로 본인 확인 후 같은 보상을 받을 수 있다고 안내됐습니다(회사 안내).
해당되거나 불안하다면
- 엠세이퍼 msafer.or.kr 또는 이동통신사 지점내 이름으로 가입된 통신서비스를 조회하고, 새 휴대폰 개통을 미리 막습니다. 새 폰을 직접 개통할 때는 제한을 풀어야 합니다.
- 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
- 예약한 제휴점명과 이용금액이 포함돼 어느 매장을 이용했는지가 드러날 수 있습니다. 사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.
- 하이타이나 제휴점을 사칭해 송금·개인정보를 요구하거나, 보상 과정에서 계좌 비밀번호·인증번호를 묻는 연락에는 응하지 마세요(회사 안내).
확인된 사실
- 규모
- 16만 3,743명(고유 휴대전화번호 기준으로 집계)
- 유출 항목
- 닉네임, 휴대전화번호, 예약 내역(제휴점명·이용금액·예약상태), 결제 연동 데이터(주문일시·거래ID·취소키)
- 원인(회사 설명)
- 하위 버전 앱 사용자를 지원하려고 유지하던 API의 보안 취약점을 악용한 비인가 조회
- 결제 정보
- 회사는 카드번호는 마스킹 처리돼 유출되지 않았고, 유출된 결제 연동 데이터만으로는 결제 취소나 재결제가 불가능하다고 설명
- 보상
- 피해 고객에게 5,000원 할인쿠폰 4매(총 2만 원 상당) 제공. 탈퇴 회원도 휴대전화번호로 본인 확인 후 가능하며 현금 지급은 아님
경과
- 오후 2시경 사고 발생(회사 안내문 기준)
- 오후 5시경 회사가 유출 사실을 인지
- 운영사 앱튜브가 유출 사고 안내문을 게시, KISA에 신고하고 피해 고객에게 개별 통지했다고 밝힘
- 후속 공지로 피해 고객 할인쿠폰 보상을 안내
원인으로 지목된 것
- 구버전 앱을 지원하려고 남겨 둔 API의 보안 취약점이 악용됐다는 것이 회사 설명입니다. 취약점의 구체적 내용은 공개되지 않았습니다.
대응과 조치
- 비정상 접근 경로와 관련 연동 기능 차단, 시스템·API 점검과 로그 분석, 접근권한·보안 설정 강화.
- KISA 신고와 피해 고객 개별 통지, 할인쿠폰 보상.
- 피싱·사칭으로 실제 금전 피해를 입은 고객은 고객센터로 별도 접수하도록 안내.
점검해 볼 지점 (편집 의견)
- 구버전 앱 지원 같은 이유로 남겨 둔 옛 API도 현재 서비스와 같은 수준으로 인증과 접근 통제를 받고 있는지 점검해 볼 만합니다.
- 사고 발생(9/3)과 인지(9/7) 사이가 나흘이었습니다. 비정상 조회량을 더 빨리 알아챌 방법이 있는지 살펴볼 만합니다.
관련 ISMS-P 인증기준 (편집 의견)
외부 접점·주변 시스템 노출2.1.3 정보자산 관리2.6.1 네트워크 접근2.10.3 공개서버 보안2.11.2 취약점 점검 및 조치
공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.