경찰의 메모 한 장이 만들어 낸 호텔 카드키 괴담

호텔에 묵어 본 사람이라면 한 번쯤 이런 경고를 들어 보았을 겁니다. 카드키에는 이름과 집 주소, 객실 번호, 체크인·체크아웃 날짜는 물론 신용카드 번호까지 저장되어 있으니, 프런트에 돌려주지 말고 집에 가져가서 망가뜨리라는 이야기입니다. 이 경고를 믿게 되는 데는 그럴 만한 이유가 있습니다. 카드키는 신용카드와 꼭 닮은 플라스틱 카드이고, 뒷면에는 신용카드처럼 검은 자기띠까지 붙어 있으니까요. 생김새가 같으면 담긴 것도 같으리라 생각하는 건 아주 자연스러운 일입니다. 그런데 정말 그럴까요.

한 경찰서의 메모에서 시작된 이야기

미국 소비자 매체 컨슈머어페어스에 따르면 이 이야기는 2003년 10월 6일, 캘리포니아주 패서디나 경찰서에서 시작되었습니다. 남부 캘리포니아의 사기 수사관들이 정보를 나누는 자리에서 한 수사관이 수사 중에 개인정보가 담긴 대형 호텔 카드키를 발견했다고 말했고, 그 이야기가 경찰서 안을 돌다가 확인도 되기 전에 밖으로 새어 나갔습니다. 소문 검증 사이트 스놉스는 이 메모가 이메일로 퍼지면서 '모든 호텔이 카드키에 개인정보를 넣는다'는 경고로 바뀌었다고 정리합니다.

패서디나 경찰서는 곧 정정문을 냈습니다. 여러 대형 호텔과 카드키 업체에 직접 확인해 보니 개인정보, 특히 신용카드 정보는 카드키에 넣지 않는다는 답을 들었고, 확인 전에 정보를 퍼뜨릴 생각은 없었다는 내용이었습니다. 하지만 정정문은 처음의 경고만큼 멀리 퍼지지 못했습니다. 그렇게 이 소문은 나라와 언어를 바꿔 가며 20년 넘게 떠돌았습니다.

카드키 100장을 직접 읽어 보다

2005년 9월, 소문은 다시 불이 붙었습니다. 미국 IT 전문지 컴퓨터월드의 블로그에 카드 판독기로 호텔 카드키를 읽었더니 세 호텔 체인에서 자기 이름과 신용카드 정보가 나왔다는 한 IT 담당자의 글이 올라온 것입니다. 글이 크게 퍼지자 컴퓨터월드는 직접 확인해 보기로 했습니다. 기자와 직원들이 6주 동안 힐튼, 홀리데이 인, 쉐라톤, 웨스틴 등 여러 체인의 카드키 52장을 모았고, 다른 카드까지 더해 모두 100장을 자기띠 판독기 제조업체에 맡겨 하나하나 읽었습니다.

2006년 1월에 나온 결과는 분명했습니다. 100장 어디에서도 개인을 알아볼 수 있는 정보는 나오지 않았습니다. 여행 매체 스마터트래블의 정리에 따르면 대부분의 카드에는 이름 일부나 손님 번호, 퇴실 날짜, 호텔 내부의 정산 번호 정도만 들어 있었고, 보안 기업 카스퍼스키도 암호화된 손님 고유번호 말고는 중요한 개인정보가 없었다고 설명합니다. 영국 출장 전문 매체 비즈니스 트래블러가 대형 체인에 직접 물었을 때도 답은 비슷했습니다. 힐튼은 방 번호와 체크인·퇴실 날짜와 시간만 암호화해 넣고 퇴실일 정오에 자동으로 지운다고 했고, 스타우드도 이용 기간과 방 번호만 넣는다고 답했습니다.

그렇다면 우리의 주소와 카드 번호는 어디에 있을까요. 컴퓨터월드는 그것이 호텔의 예약·관리 시스템 안에 남아 있다고 설명합니다. 카드키는 그 정보를 옮겨 담는 상자라기보다 문 잠금장치가 알아보는 출입 암호에 가깝습니다. NBC 뉴스는 많은 호텔의 카드키 시스템이 예약 컴퓨터와 아예 연결되어 있지 않아 예약 정보가 카드로 들어갈 길조차 없다고 짚었습니다. 생각해 보면 이 소문에는 빈틈이 하나 있습니다. 카드키를 읽을 수 있는 직원이라면 이미 예약 시스템에서 손님 정보를 볼 수 있으니, 굳이 카드를 따로 읽어 정보를 빼낼 이유가 없다는 것이지요.

경찰이 본 카드는 무엇이었을까

그래도 궁금증은 남습니다. 2003년 그 수사관이 본 카드에는 정말 개인정보가 있었던 걸까요. 스놉스와 컨슈머어페어스는 더 그럴듯한 설명을 내놓습니다. 카드 사기범들은 다른 경로로 훔친 신용카드 정보를 아무 자기띠 카드에나 복사해 복제 카드를 만드는데, 이때 구하기 쉬운 호텔 카드키를 빈 카드로 쓰는 경우가 있었다는 것입니다. 수사관이 본 정보는 호텔이 넣은 것이 아니라 범죄자가 나중에 써넣은 것이었을 가능성이 큽니다.

그렇다고 이 소문을 믿은 사람들을 탓할 일은 아닙니다. 컨슈머어페어스에 따르면 당시 패서디나 경찰 대변인은 한 대형 체인이 예전에 카드키에 신용카드 정보를 넣은 적이 있지만 지금은 하지 않는다고 인정했다고 합니다. 아주 오래된 일부 시스템이 설정에 따라 개인정보를 담을 수 있었는지는 전문가들 사이에서도 의견이 갈립니다. 다만 지금의 대형 체인에서 그런 사례가 확인된 적은 없습니다. 그 카드에 누가, 언제 정보를 넣었는지는 끝내 밝혀지지 않았습니다.

진짜 위험은 문에 있었다

이야기에는 반전이 하나 더 있습니다. 카드키의 진짜 위험은 개인정보가 아니라 문을 여는 힘 자체였습니다. 2024년 3월, 기술 매체 와이어드는 보안 연구자 이언 캐럴과 레너트 바우터스 연구팀의 발표를 보도했습니다. 스위스 잠금장치 업체 도르마카바의 '세이프락' 일부 모델에서 취약점이 발견되었는데, 이 잠금장치는 131개국 1만 3,000곳의 숙소, 약 300만 개의 문에 달려 있었습니다. 연구팀은 그 호텔의 카드키 한 장만 있으면 위조 카드를 만들어 다른 방 문까지 열 수 있다는 것을 보여 주었습니다. 연구팀은 2022년 9월 업체에 이 문제를 먼저 알렸고, 업체는 2023년 11월부터 잠금장치를 고치기 시작했습니다. 하지만 국제 보안 전문가 단체 ASIS 인터내셔널에 따르면 2024년 3월 기준으로 고쳐진 잠금장치는 36%뿐이었습니다. 지금 얼마나 더 고쳐졌는지는 공개된 최신 집계가 없습니다.

여기서도 위험은 카드키에 내 이름이 있느냐가 아니었습니다. 카드키가 문을 어떻게 여느냐였지요. 그리고 그 문제를 풀어야 하는 쪽은 손님이 아니라 호텔과 잠금장치 업체입니다. 카드키를 집에 가져간다고 막을 수 있는 위험이 아니라는 뜻입니다.

안전을 위해 태어난 열쇠

아이러니하게도 카드키는 처음부터 안전을 위해 태어났습니다. ASIS 인터내셔널에 따르면 최초의 호텔 카드키 잠금장치 '빙카드'를 만든 발명가 토르 쇠르네스는 호텔 방에서 한 여성이 공격당한 사건을 듣고 더 안전한 열쇠를 만들기로 마음먹었습니다. 당시 금속 열쇠에는 호텔 이름과 주소, 방 번호가 새겨진 경우가 많아, 잃어버리면 누구든 그 방을 찾아갈 수 있었습니다. 카드키는 바로 그 문제를 줄이려고 나온 발명품이었습니다.

그러니 체크아웃할 때는 카드키를 망설이지 말고 프런트에 돌려주어도 괜찮습니다. 주요 체인 기준으로 개인정보는 들어 있지 않고, 돌려준 카드는 다시 쓰입니다. 호주의 샹그릴라 호텔 시드니는 손님들이 가져가 버린 플라스틱 카드키를 매주 1,000장 넘게 잃다가 나무 카드키를 시험 도입했고, 영국 에식스대학교 호텔학교 학생들의 제안으로 위븐호 하우스 호텔도 나무 카드키로 바꾸었습니다. 북유럽의 스트로베리 그룹은 스웨덴 예테보리의 클라리온 호텔 포스트에 휴대폰 지갑 앱으로 여는 객실 열쇠를 들였습니다.

대신 조심할 것은 따로 있습니다. 방 번호가 적힌 종이 케이스와 카드를 함께 잃어버리면 주운 사람이 어느 방인지 알 수 있으니 둘은 따로 두는 것이 좋고, 카드를 잃어버렸다면 바로 프런트에 알려 새 카드를 받으면 예전 카드는 보통 쓸 수 없게 됩니다. 방 안에서는 문 안쪽의 걸쇠도 걸어 두세요. 호텔 안 식당이나 상점 요금을 방으로 달아 두는 기능이 있으면 카드에 성의 일부와 계정 번호 정도가 들어갈 수 있다고 NBC 뉴스는 전합니다. 오래되거나 작은 숙소는 시스템이 다를 수 있으니, 궁금하다면 프런트에 물어보는 것이 가장 빠릅니다. 그리고 정말 지켜야 할 개인정보는 카드키가 아니라 카드 명세서에 있습니다. 여행 중과 여행 뒤에 신용카드 사용 내역을 한 번 살펴보는 습관이, 카드키를 가위로 자르는 것보다 훨씬 든든한 보호막이 되어 줍니다.

작은 플라스틱 카드 한 장에 쏟던 걱정을 내려놓으면, 정말 지켜야 할 것이 더 또렷하게 보입니다.

※ 카드키에 담기는 정보는 호텔과 지역, 시스템에 따라 다를 수 있으니 궁금한 점은 묵는 호텔에 직접 확인해 주세요.

참고 출처

It's Just the Key to Your Room (Computerworld, 미국, 2006)
Card Sharks — hotel key card rumor fact check (Snopes, 미국)
Hotel Key Cards: Identity Theft Risk or Not? (ConsumerAffairs, 미국, 2006-10)
Are hotel key cards a security risk? (SmarterTravel, 미국)
Hotel urban legends (NBC News, 미국)
Urban Myth? Destroy All Room Key Access Cards — Hilton·Starwood 답변 (Business Traveller, 영국)
Fact or Fiction: Do hotel card keys store guests' personal data? (Kaspersky Daily 영국판, 글로벌 보안 기업)
Unsaflok: vulnerable locks on three million hotel room doors (Kaspersky Daily, 글로벌 보안 기업, 2024)
Security Vulnerability Allows Attackers to Unlock Hotel Rooms (ASIS International Security Management, 국제 보안전문가 단체, 2024-03)
Security Vulnerability in Saflok's RFID-Based Keycard Locks — WIRED 보도 인용 (Schneier on Security, 미국, 2024-03-27)
Dormakaba Locks Used in Millions of Hotel Rooms Could Be Cracked in Seconds (The Hacker News, 인도, 2024-03-29)
Shangri-La Sydney wooden RFID key cards (Hotel Management, 호주)
Cutting plastic waste at Edge Hotel School (University of Essex, 영국, 2022-09-14)
Strawberry launches Room key in Apple Wallet (Strawberry 보도자료, 노르웨이 본사 북유럽 호텔 그룹)