들어가며
카카오골프예약으로 투어를 다녀온 적이 있는데, 내 예약 내역까지 나갔다는 게 맞나요?
2025년 1월 이후 국내 투어 예약자 약 3만 4천 명이 대상이고, 홈페이지에서 바로 조회됩니다.
오늘 블로그는, 이틀 사이에 나온 골프 예약 앱 두 곳의 유출 안내로 시작해 보려고 합니다.
골프몬은 10월 8일 회원들에게 이름·전화번호·닉네임이 나갔다는 문자를 보냈고,
같은 날 카카오 VX 는 카카오골프예약 홈페이지에 예약·결제 정보가 나갔다고 공지했습니다.
이 글은 사건 이야기 대신, 내 정보가 들어 있는지 확인하는 곳,
내 라운드 일자를 아는 전화를 거르는 기준,
그리고 통지문에서 꼭 확인할 다섯 가지를 적어보려고 합니다.
(2026년 10월 10일 기준입니다. 조사가 진행 중이라 대상과 항목은 바뀔 수 있습니다.)
1. 카카오골프예약 유출 조회 — 2025년 1월 이후 국내 투어 예약자
주소창에 kakao.golf 를 직접 입력해 들어가서, 유출 안내 공지에 걸린 조회 메뉴에서 확인하시면 됩니다.
조회 대상은 2025년 1월부터 2026년 10월까지 카카오골프예약으로 국내 투어 상품을 예약한 고객입니다.
카카오 VX 가 밝힌 규모는 약 3만 4천 명입니다.
회사는 10월 7일 외부의 비인가자가 비정상적인 방법으로 고객 정보를 가져간 사실을 확인했고,
다음 날인 8일 홈페이지에 공지하면서 개인정보보호위원회와 한국인터넷진흥원에 신고했다고 밝혔습니다.
여기가 중요합니다.
「유출 여부를 확인하세요」라는 문자나 메일이 와도, 그 안의 링크로는 들어가지 마세요.
같은 공지를 흉내 낸 페이지가 따라 나오는 게 유출 뒤의 흔한 순서입니다.
주소창에 직접 쳐서 들어가면 그 문제가 없습니다.
결과 화면은 날짜가 보이게 캡처해 두세요.
나중에 배상을 따지든 통지를 요구하든, 「내 정보가 나갔다」를 증명하는 첫 서류가 이 캡처입니다.
문의는 회사가 따로 연 전담 상담센터로 받는다고 했습니다.
번호는 공지에 적혀 있고, 홈페이지 하단의 고객센터 번호(1668-3819, 평일 10~18시)로도 연결됩니다.
2. 나간 항목 9가지 — 카드번호는 아니고 예약 내역입니다
나간 것은 이름·전화번호와 예약 상품명·라운드 일자·숙박 정보·결제 금액·주문번호·결제·취소 일시·가상계좌번호이고, 카드번호와 주민등록번호는 아닙니다.
묶어 보면 이렇습니다.
| 묶음 | 항목 | 이걸로 벌어지는 일 |
|---|---|---|
| 신원 | 이름 · 전화번호 | 스팸 · 사칭 전화의 재료. 여기까지는 골프몬과 같습니다 |
| 예약 | 예약 상품명 · 라운드 일자 · 숙박 정보 | 「○월 ○일 ○○CC 1박 2일」을 아는 전화가 옵니다 |
| 결제 | 결제 금액 · 주문번호 · 결제·취소 일시 · 가상계좌번호 | 「환불·재입금」 사기의 재료 |
먼저, 카드번호가 안 나갔으니 카드 재발급은 필요 없습니다.
둘째, 가상계좌번호는 그 주문의 돈을 받으려고 만든 입금용 번호라,
그 번호를 안다고 내 계좌에서 돈이 빠지지는 않습니다.
셋째, 비밀번호는 공지된 항목에 없습니다.
그러니 이번 유출의 위험은 계정이 아니라 내 예약을 아는 전화입니다.
보통 사칭 전화는 이름 하나로 시작합니다.
이번에는 「10월 ○일 ○○CC 1박 2일, 48만 원 결제하셨죠?」로 시작할 수 있습니다.
그게 다 맞으니까 믿게 되는 겁니다.
그 이야기는 아래 3절에서 적겠습니다.
3. 라운드 일자를 아는 「환불·취소」 전화 — 거르는 기준 하나!
환불은 내가 결제한 수단으로만 돌아오니, 다른 계좌로 다시 입금하라거나 앱을 깔라거나 인증번호를 말하라는 순간 끊으시면 됩니다.
카드로 냈으면 카드로 취소되고, 가상계좌로 냈으면 원래 계좌로 돌아옵니다.
환불을 받으려고 내가 어디에 돈을 먼저 보낼 일은 없습니다.
올 수 있는 전화는 이런 식입니다.
- 「골프장 사정으로 라운드가 취소돼 환불해 드립니다.」 환불 계좌를 묻거나, 환불 수수료를 먼저 보내라고 합니다
- 「가상계좌 입금 오류로 결제가 취소됐습니다.」 다른 계좌로 다시 입금하라고 합니다
- 「유출 피해 보상금을 드립니다.」 링크를 누르거나 앱을 깔아 본인 확인을 하라고 합니다
📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.
[○○골프] 김○○ 고객님, 10월 ○일 ○○CC 투어(결제 480,000원)가 골프장 사정으로 취소되었습니다. 아래에서 환불 계좌를 등록해 주세요.
hxxp://golf-refund[.]example
전화를 끊고 할 일은 셋입니다.
첫째, 앱에 들어가 내 예약이 정말 취소됐는지 직접 봅니다.
둘째, 홈페이지에 적힌 고객센터 번호로 내가 다시 겁니다. 전화가 알려 준 번호가 아니라요.
셋째, 이미 다른 계좌로 보냈다면 112 에 전화해 그 계좌의 지급정지를 요청합니다. 빠를수록 돌아올 돈이 늘어납니다.
광고 전화는 따로 막습니다.
- 두낫콜(donotcall.go.kr) — 공정거래위원회가 운영하는 전화권유판매 수신거부 등록입니다. 휴대폰 인증으로 내 번호를 올리면 전화권유판매업자는 그 번호로 걸 수 없고, 등록 뒤에도 오면 같은 곳에 신고합니다
- 통신사 스팸 차단 — 통신사 앱의 무료 스팸 차단을 켭니다
- 118 — 불법 스팸과 개인정보 침해 신고입니다
4. 통지문에서 확인할 다섯 가지 — 「개인정보 보호법」 제34조
유출 통지에는 나간 항목, 시점과 경위, 내가 할 수 있는 피해 최소화 방법, 회사의 대응조치와 구제 절차, 피해 접수 부서와 연락처 다섯 가지가 있어야 하고, 빠져 있으면 회사에 물을 수 있습니다.
「개인정보 보호법」 제34조 제1항이 이 다섯을 정해 두었습니다.
받은 문자나 공지를 이 다섯에 대 보시면 됩니다.
회사 쪽 기한도 있습니다.
시행령 제40조에 따라 회사는 유출을 안 때부터 72시간 안에 개인정보위나 한국인터넷진흥원에 신고해야 하고,
1천 명 이상이 대상이면 통지와 함께 홈페이지에도 게시해야 합니다.
카카오 VX 는 7일 인지, 8일 공지·신고로 보도됐으니 그 안에 든 겁니다.
통지가 안 왔는데 조회에서 「해당」이 나왔다면 조회 화면을 캡처하고 회사에 통지를 요구하거나 118 에 문의하시면 됩니다.
배상 이야기는 짧게 적겠습니다.
회사가 주는 보상은 10월 10일 기준으로 공지된 것이 없습니다.
내가 청구하는 배상은 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972)에 비용 없이 신청하는 조정과,
손해액을 증명하지 않아도 300만 원 이하에서 법원이 정하는 제39조의2 법정손해배상이 있습니다.
300만 원은 상한이지 받는 돈이 아닙니다.
지금 단계에서 할 일은 조회 결과와 통지문을 보관하는 것까지입니다.
5. 골프몬은 2년 만에 두 번째 — 2024년 비밀번호를 안 바꿨다면 지금
골프몬은 10월 4~5일 이름·전화번호·닉네임이 나갔고 비밀번호는 아니라고 밝혔지만, 2024년 10월 유출에는 암호화된 비밀번호가 들어 있었으니 그때 안 바꿨다면 오늘 바꾸시면 됩니다.
골프몬은 10월 6일 홈페이지에 비정상적인 외부 접근이 있었던 걸 알았고,
4일과 5일 이틀 동안 회원 정보가 나간 것을 확인해 8일 회원들에게 안내 문자를 보냈습니다.
한국인터넷진흥원과 사이버수사대에 신고하고 접근 경로를 막았다고 했고, 규모는 밝히지 않았습니다.
2024년 10월에도 같은 앱에서 이름·전화번호·성별과 암호화된 비밀번호가 나갔습니다.
그때 회사는 「복호화가 불가능하다는 자문을 받았다」고 했습니다.
그래도 같은 비밀번호를 다른 사이트에서 쓰고 있다면 바꾸는 게 맞습니다.
암호화된 비밀번호도 흔한 비밀번호라면 맞춰 보는 방식으로 풀리니까요.
(2026년 9월 11일 시행된 개정 「개인정보 보호법」은 3년 안에 고의·중과실로 반복되는 침해에 과징금 상한을 매출액의 10%까지 올렸습니다.
골프몬에 적용될지는 개인정보위가 판단할 일이고, 이 내용은 MTN 보도로 받은 것입니다.)
8일 문자를 못 받았는데 골프몬 회원이라면 고객센터에 직접 물어보세요.
두 앱에서 다 나간 건 이름과 전화번호입니다.
「골프」라는 맥락을 아는 전화가 온다면 위에 3절의 기준이 그대로 적용됩니다.
자주 묻는 것
Q. 투어가 아니라 그린피 예약만 했는데도 대상인가요?
공지된 대상은 국내 투어 상품 예약 고객입니다. 다만 조회는 해 보세요. 유출 규모는 조사 중에 늘어나는 일이 흔합니다. 지금 「해당 없음」이면 그 화면도 날짜와 함께 캡처해 두시면 됩니다.
Q. 동반자로 같이 갔는데 제 정보도 나갔나요?
공지된 유출 항목에 동반자라는 항목은 없습니다. 나간 건 예약자가 입력한 정보입니다. 예약자가 내 이름과 전화번호를 예약에 넣었다면 그 정보가 예약 정보 안에 있을 수 있으니, 예약자에게 넣었는지 물어보고 조회를 부탁하세요.
Q. 카드를 재발급해야 하나요?
아닙니다. 카드번호는 나가지 않았다고 회사가 밝혔습니다. 대신 카카오골프예약에서 결제한 카드의 승인 문자를 한 달쯤 눈여겨보시면 됩니다. 모르는 승인이 뜨면 카드사에 바로 이의신청합니다.
Q. 전화를 받고 환불 계좌를 알려줬는데 돈은 안 보냈습니다. 괜찮나요?
계좌번호만으로 돈이 빠지지는 않습니다. 다만 그 전화는 다음 단계로 「본인 확인 앱」이나 인증번호를 요구할 겁니다. 그 번호를 차단하고, 같은 내용으로 다시 오면 받지 마세요. 앱을 깔았다면 즉시 지우고 휴대폰을 점검합니다.
마무리
글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.
이번에 나간 건 카드번호가 아니라 내 라운드 일자와 결제 금액이고, 그걸 아는 「환불」 전화가 곧 사기의 증거입니다.
이미 다른 계좌로 보냈다면 지금 112 에 전화해 지급정지부터 요청하세요.
근거 자료
- 카카오 VX 「카카오골프예약」 개인정보 유출 안내 공지(2026.10.8) — 유출 인지 10.7 · 대상 2025.1~2026.10 국내 투어 예약 고객 약 3만 4천 명 · 항목 9종(이름·전화번호·예약 상품명·라운드 일자·숙박 정보·결제 금액·주문번호·결제·취소 일시·가상계좌번호) · 카드번호·주민등록번호 미포함 · 외부 IP 차단·보안정책 신규 적용 · 개인정보위·KISA 신고 · 홈페이지 조회 · 전담 상담센터. 블로터(10.9)·보안뉴스(10.9)·민주신문(10.8)·아이뉴스24(10.8) 보도 경유, 공지 원문은 홈페이지가 자동 접근을 막아 직접 보지 못함
- 골프몬 개인정보 유출 안내(2026.10.8 회원 문자) — 10.4~5 유출 · 10.6 인지 · 이름·전화번호·닉네임 · 비밀번호 미포함 · KISA·사이버수사대 신고 · 규모 미공개. 보안뉴스(10.8)·MTN(10.8) 보도 경유 · 2024.10 유출(이름·전화번호·성별·암호화 비밀번호, 「복호화 불가 자문」)은 보안뉴스 2024.10 보도
- 「개인정보 보호법」 제34조(유출 등의 통지·신고) · 제39조의2(법정손해배상) · 제43조(조정의 신청) · 같은 법 시행령 제40조(72시간 내 신고 · 1천 명 이상 홈페이지 게시)
- 개정 「개인정보 보호법」(2026.9.11 시행) 반복 침해 과징금 상한 매출액 10% — MTN 보도 경유
- 공정거래위원회 전화권유판매 수신거부의사 등록시스템 두낫콜(donotcall.go.kr)
- 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972) · 개인정보침해 신고센터 118 · 금융 피해 신고 112
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액은 사안마다 다르니 변호사 또는 대한법률구조공단(132)에 확인하세요.
⚠️ 두 사건 모두 조사가 진행 중입니다. 카카오 VX 와 골프몬의 책임 범위는 확정되지 않았고, 이 글은 두 회사의 책임을 단정하지 않습니다. 회사 공지 내용은 보도로 받은 것이라 원문과 표현이 다를 수 있습니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 회사명은 가명이고 도메인은 예약된 예시용 주소입니다.
#보안로그 #생활보안 #개인정보유출 #카카오골프예약유출 #카카오VX #골프몬유출 #골프예약앱 #개인정보보호법 #환불사칭 #보이스피싱 #스미싱 #두낫콜 #법정손해배상 #유출통지 #정보보안
댓글
댓글 쓰기