경찰의 메모 한 장이 만들어 낸 호텔 카드키 괴담

우리가 믿어 온 이야기: "카드키를 반납하면 내 정보가 털린다"

호텔에 묵어 본 사람이라면 한 번쯤 이런 경고를 들었을 거예요.

카드키에는 이름, 집 주소, 객실 번호, 체크인·체크아웃 날짜, 신용카드 번호가 저장된다. 프런트에 돌려주면 직원 누구나 기계로 읽을 수 있다. 그러니 절대 반납하지 말고 집에 가져가서 망가뜨려라.

이 경고를 믿은 데에는 이유가 있었습니다. 카드키는 겉으로 보기에 신용카드와 똑같이 생긴 플라스틱 카드이고, 뒷면에는 신용카드처럼 **검은 자기띠(마그네틱 띠)**도 붙어 있습니다. "같은 모양이면 같은 정보가 들어 있겠지"라고 생각하는 것은 아주 자연스럽습니다.

그런데 정말 그럴까요?

처음 생긴 의문: 소문은 경찰의 '내부 메모'에서 시작됐다 2003년 10월, 미국 캘리포니아의 한 경찰서

미국 소비자 매체 **컨슈머어페어스(ConsumerAffairs)**에 따르면, 이 이야기는 2003년 10월 6일 미국 캘리포니아주 패서디나(Pasadena) 경찰서에서 시작됐습니다.

남부 캘리포니아의 사기 수사관들이 정보를 나누는 모임이 있었습니다. 그 자리에서 한 수사관이 "수사 중에 개인정보가 들어 있는 대형 호텔의 카드키를 발견했다"고 말했습니다. 이 이야기가 경찰서 안에서 돌다가, 확인 전에 밖으로 새어 나갔습니다.

미국의 소문 검증 사이트 **스놉스(Snopes)**는, 이 메모가 이메일로 퍼지면서 "모든 호텔이 카드키에 개인정보를 넣는다"는 경고로 바뀌었다고 정리했습니다.

경찰은 곧 정정했다

패서디나 경찰서는 이후 공식 정정문을 냈습니다. 스놉스에 실린 정정문의 내용은 이렇습니다.

경찰이 여러 대형 호텔과 카드키 업체에 직접 확인했다. 업체들은 개인정보, 특히 신용카드 정보는 카드키에 넣지 않는다고 답했다. 경찰은 이 정보를 확인 전에 퍼뜨릴 생각이 없었다고 밝혔다.

하지만 정정문은 원래 경고만큼 퍼지지 않았습니다. 그래서 이 소문은 나라와 언어를 바꿔 가며 20년 넘게 이어졌습니다.

증거: 카드키 100장을 직접 읽어 봤다 2005년, 다시 불붙은 소문

2005년 9월, 미국 IT 전문지 **컴퓨터월드(Computerworld)**의 블로그에 한 IT 담당자의 경험담이 올라왔습니다. 그는 카드 판독기로 호텔 카드키를 읽었더니 세 개 호텔 체인에서 자기 이름과 신용카드 정보가 나왔다고 주장했습니다.

이 글은 기술 커뮤니티에서 크게 퍼졌고, 컴퓨터월드는 직접 확인해 보기로 했습니다.

무엇을, 어떻게 조사했나

컴퓨터월드의 조사 방식은 이렇습니다.

무엇을: 힐튼, 홀리데이 인, 쉐라톤, 웨스틴 등 여러 호텔 체인의 카드키 얼마나: 기자와 직원들이 6주 동안 52장을 모았고, 여기에 다른 카드까지 더해 모두 100장 어떻게: 자기띠 카드 판독기 제조업체에 맡겨 카드 속 데이터를 하나하나 읽음

무엇이 나왔나

2006년 1월 발표된 결과는 분명했습니다. 컴퓨터월드는 100장 어디에서도 개인을 알아볼 수 있는 정보가 나오지 않았다고 보도했습니다.

미국 여행 매체 **스마터트래블(SmarterTravel)**의 정리에 따르면, 대부분의 카드에는 이런 정보만 들어 있었습니다.

이름 일부 또는 손님 번호 퇴실 날짜 호텔 내부 정산 번호(폴리오 번호)

글로벌 보안 기업 **카스퍼스키(Kaspersky)**도 이 조사를 소개하며, 암호화된 손님 고유번호 말고는 중요한 개인정보가 없었다고 설명했습니다.

호텔이 직접 밝힌 '카드키 속 정보'

영국 출장 전문 매체 **비즈니스 트래블러(Business Traveller)**가 대형 호텔 체인에 직접 물었습니다.

**힐튼(Hilton)**은 객실 카드키에 방 번호와 체크인·퇴실 날짜와 시간만 들어간다고 답했습니다. 이 정보는 암호화되어 있고, 퇴실일 정오에 자동으로 지워진다고 밝혔습니다. **스타우드(Starwood, 현재 메리어트 계열)**도 이용 기간과 방 번호만 들어간다고 답했습니다. 그럼 내 정보는 어디에 있을까?

컴퓨터월드는 손님의 주소와 신용카드 번호는 호텔의 예약·관리 시스템(PMS) 안에 남아 있다고 설명했습니다. 카드키는 그 시스템의 정보를 옮겨 담는 장치가 아니라, **문 잠금장치가 알아보는 '출입 암호'**에 가깝습니다.

미국 NBC 뉴스도 같은 점을 짚었습니다. 많은 호텔의 카드키 시스템은 예약 컴퓨터와 아예 연결돼 있지 않아서, 예약 정보가 카드에 들어갈 길 자체가 없다고 설명했습니다.

저희 분석: 이 소문에는 논리적인 빈틈이 하나 있습니다. 스놉스가 지적했듯, 카드키를 읽을 수 있는 호텔 직원은 이미 예약 시스템에서 손님 정보를 볼 수 있습니다. 굳이 카드키를 따로 읽어 정보를 훔칠 이유가 거의 없는 것이죠.

확신 정도: 주요 호텔 체인의 카드키에 주소·신용카드 번호가 들어 있지 않다는 점은 확인됨이에요. 경찰 정정문, 언론의 100장 실측, 호텔 체인의 공식 답변이 같은 결론을 가리킵니다.

반전: 그럼 경찰이 본 카드는 무엇이었을까? 범죄자들이 '빈 카드'로 쓴 카드키

스놉스와 컨슈머어페어스는 경찰이 본 카드에 대해 더 그럴듯한 설명을 내놓았습니다.

카드 사기범들은 훔친 신용카드 정보를 다른 경로로 손에 넣습니다. 그 정보를 아무 자기띠 카드에나 복사해 '복제 카드'를 만듭니다. 이때 구하기 쉬운 호텔 카드키를 빈 카드로 쓰는 경우가 있었습니다.

겉보기에는 평범한 호텔 카드키라서, 수사 현장에서 눈에 잘 띄지 않았을 수 있습니다. 즉 경찰이 본 정보는 호텔이 넣은 것이 아니라 범죄자가 나중에 써넣은 것이었을 가능성이 큽니다.

그때는 그렇게 볼 이유가 있었다

이 소문을 믿은 사람들을 탓할 일은 아닙니다. 컨슈머어페어스에 따르면, 패서디나 경찰 대변인은 한 대형 호텔 체인이 예전에 카드키에 신용카드 정보를 넣은 적이 있지만 지금은 하지 않는다고 인정했다고 전했습니다.

컴퓨터월드도 아주 오래된 일부 시스템은 설정에 따라 개인정보를 담을 수 있었는지를 두고 전문가 사이에 의견이 갈린다고 적었습니다. 2000년대 초에는 실제로 기술이 지금보다 덜 정리돼 있었던 것입니다.

확신 정도: "오래된 일부 시스템에서 예외가 있었는가"는 지금도 논쟁 중이에요. 다만 그런 사례가 지금의 대형 체인에서 확인된 적은 없습니다.

진짜 위험은 '정보'가 아니라 '문'에 있었다

이 이야기에는 두 번째 반전이 있습니다. 카드키의 진짜 위험은 개인정보가 아니라 문을 여는 힘 자체였습니다.

2024년 3월, 미국 기술 매체 **와이어드(WIRED)**는 보안 연구자 **이언 캐럴(Ian Carroll)**과 레너트 바우터스(Lennert Wouters) 연구팀의 발표를 보도했습니다. 내용은 이렇습니다.

스위스 잠금장치 업체 **도르마카바(dormakaba)**의 '세이프락(Saflok)' 일부 모델에서 취약점이 발견됐습니다. 이 잠금장치는 131개국, 1만 3,000곳의 숙소, 약 300만 개의 문에 설치돼 있었습니다. 연구팀은 그 호텔의 카드키 한 장만 있으면, 위조 카드를 만들어 같은 호텔의 다른 방 문도 열 수 있다는 것을 보여 줬습니다.

연구팀 이름을 따 **'언세이프락(Unsaflok)'**이라 불린 이 문제를, 연구팀은 2022년 9월 업체에 먼저 알렸습니다. 업체는 2023년 11월부터 잠금장치를 고치기 시작했습니다. 하지만 국제 보안 전문가 단체 ASIS 인터내셔널에 따르면, 2024년 3월 기준으로 고쳐진 잠금장치는 36%뿐이었습니다.

저희 분석: 이 사례에서도 위험은 "카드키에 내 이름이 있느냐"가 아니었습니다. **"카드키가 문을 어떻게 여느냐"**였습니다. 그리고 이 문제를 해결하는 주체는 손님이 아니라 호텔과 잠금장치 업체입니다. 손님이 카드키를 집에 가져간다고 막을 수 있는 위험이 아니라는 뜻이에요.

아직 풀리지 않은 수수께끼 2024년에 공개된 취약한 잠금장치 가운데 2026년 현재 몇 %가 고쳐졌는지는 공개된 최신 집계가 없습니다. 2003년 경찰 수사관이 본 그 카드에 누가, 언제 정보를 넣었는지는 끝내 밝혀지지 않았습니다. 처음부터 카드키는 '안전'을 위해 태어났다

ASIS 인터내셔널에 따르면, 최초의 호텔 카드키 잠금장치 **'빙카드(VingCard)'**는 발명가 **토르 쇠르네스(Tor Sørnes)**가 만들었습니다. 그는 호텔 방에서 한 여성이 공격당한 사건을 듣고 더 안전한 열쇠를 만들기로 했습니다.

당시 금속 열쇠에는 호텔 이름과 주소, 방 번호가 새겨진 경우가 많았습니다. 잃어버리면 누구나 그 방을 찾아갈 수 있었던 것이죠. 카드키는 오히려 이 문제를 줄이려고 나온 발명품이었습니다.

여행 팁: 카드키, 이렇게 다루세요 체크아웃할 때 카드키는 프런트에 반납하세요. 주요 체인 기준으로 개인정보는 들어 있지 않고, 반납된 카드는 다시 쓰입니다. 깜빡하고 가져왔다면? 버려도 개인정보 걱정은 거의 없습니다. 다만 다음에 같은 호텔에 갈 때 돌려주면 플라스틱을 줄일 수 있어요. 플라스틱도 함께 줄일 수 있다 호주 매체 **호텔 매니지먼트(Hotel Management)**에 따르면, 호주 시드니의 샹그릴라 호텔 시드니는 손님들이 돌려주지 않은 플라스틱 카드키를 매주 1,000장 넘게 잃고 있었습니다. 이 호텔은 나무로 만든 카드키를 시험 도입했습니다. 영국 에식스대학교의 호텔학교 학생들은, 학교가 운영하는 **위븐호 하우스 호텔(Wivenhoe House Hotel)**의 플라스틱 카드키를 나무 카드키로 바꾸자는 제안을 했고, 호텔은 이를 바로 받아들였습니다. 노르웨이에 본사를 둔 북유럽 호텔 그룹 **스트로베리(Strawberry)**는 스웨덴 예테보리의 클라리온 호텔 포스트에서 휴대폰 지갑 앱으로 여는 객실 열쇠를 도입했습니다. 열쇠는 원격으로 켜고 끌 수 있고, 언제 어디서 썼는지는 애플과 공유되지 않는다고 밝혔습니다.

실전 팁 카드키와 방 번호를 함께 두지 마세요. 방 번호가 적힌 종이 케이스와 카드를 같이 잃어버리면, 습득한 사람이 어느 방인지 알 수 있습니다. (편집팀 제안) 카드키를 잃어버렸다면 바로 프런트에 알리세요. 새 카드를 만들면 예전 카드는 보통 쓸 수 없게 됩니다. 방에 있을 때는 문 안쪽의 걸쇠(도어 가드)도 걸어 두세요. 와이어드 보도에 따르면, 취약한 잠금장치에서는 전자식 잠금 기능도 같은 카드키로 함께 열릴 수 있습니다. 진짜 개인정보 보호는 '카드 명세서'에서 하세요. 여행 중과 여행 뒤에 신용카드 사용 내역을 확인하는 것이 카드키를 자르는 것보다 훨씬 효과적입니다.

자주 하는 실수 카드키를 집에 가져와 가위로 자르기. 개인정보 보호 효과는 거의 없고, 호텔은 새 플라스틱 카드를 또 만들어야 합니다. "카드키만 챙기면 안전하다"고 생각하기. 손님 정보는 카드가 아니라 호텔 시스템에 있습니다. 카드키를 휴대폰과 딱 붙여 두기. 개인정보와는 상관없지만, 자기띠 카드는 자석에 데이터가 지워져 문이 안 열릴 수 있습니다.

주의사항 카드키로 결제까지 되는 호텔도 있습니다. NBC 뉴스에 따르면, 호텔 안 식당·상점 요금을 방으로 달아 두는 기능이 있으면 카드에 성의 일부와 계정 번호 정도가 들어갈 수 있습니다. 주소나 카드 번호는 아닙니다. 오래된 숙소나 소규모 숙소는 시스템이 다를 수 있습니다. 걱정된다면 프런트에 "카드키에 어떤 정보가 들어가나요?"라고 물어보세요.

자주 묻는 질문 (FAQ)

Q1. 그럼 카드키는 무조건 반납해야 하나요?

꼭 그래야 하는 것은 아니지만, 반납을 권합니다. 주요 체인 기준으로 개인정보 걱정은 거의 없고, 반납된 카드는 다시 쓰여 플라스틱 쓰레기를 줄일 수 있습니다.

Q2. 내 카드키에 무엇이 들어 있는지 직접 확인할 수 있나요?

일반 여행자가 확인하기는 어렵습니다. 대부분 암호화되어 있기 때문입니다. 가장 쉬운 방법은 프런트에 직접 물어보는 것입니다.

Q3. 휴대폰 열쇠(모바일 키)는 더 안전한가요?

휴대폰 열쇠는 호텔이 원격으로 켜고 끌 수 있고, 플라스틱도 쓰지 않는다는 장점이 있습니다. 다만 휴대폰을 잃어버리면 열쇠도 함께 잃어버리는 셈이니, 휴대폰 잠금 설정은 꼭 해 두세요.

결론 및 요약

① "호텔 카드키에 신용카드 번호가 저장된다"는 소문은 2003년 미국 패서디나 경찰서의 확인 안 된 내부 메모에서 시작됐고, 경찰은 곧 정정했습니다. ② 2006년 컴퓨터월드가 카드키 100장을 읽어 본 결과 주소·신용카드 번호는 나오지 않았고, 힐튼도 방 번호와 체크인·퇴실 일시만 암호화해 넣는다고 밝혔습니다. ③ 진짜 위험은 개인정보가 아니라 잠금장치 자체의 보안이었고, 이것은 호텔과 업체가 고쳐야 할 문제입니다.

오늘 바로 해 볼 일: 다음 체크아웃 때는 카드키를 망설이지 말고 프런트에 돌려주세요. 대신 여행이 끝난 뒤 신용카드 사용 내역을 한 번 확인하는 습관을 들여 보세요.

작은 플라스틱 카드 한 장에 쏟던 걱정을 내려놓으면, 정말 지켜야 할 것이 더 또렷하게 보입니다. 다음 여행도 가볍고 안전하게 다녀오세요.

※ 본 글은 일반 여행 정보입니다. 카드키에 담기는 정보는 호텔·지역·시스템에 따라 다를 수 있으니, 궁금한 점은 묵는 호텔에 직접 확인해 주세요.

========================================

[참고] 출처

It's Just the Key to Your Room (Computerworld, 미국, 2006) Card Sharks — hotel key card rumor fact check (Snopes, 미국) Hotel Key Cards: Identity Theft Risk or Not? (ConsumerAffairs, 미국, 2006-10) Are hotel key cards a security risk? (SmarterTravel, 미국) Hotel urban legends (NBC News, 미국) Urban Myth? Destroy All Room Key Access Cards — Hilton·Starwood 답변 (Business Traveller, 영국) Fact or Fiction: Do hotel card keys store guests' personal data? (Kaspersky Daily 영국판, 글로벌 보안 기업) Unsaflok: vulnerable locks on three million hotel room doors (Kaspersky Daily, 글로벌 보안 기업, 2024) Security Vulnerability Allows Attackers to Unlock Hotel Rooms (ASIS International Security Management, 국제 보안전문가 단체, 2024-03) Security Vulnerability in Saflok's RFID-Based Keycard Locks — WIRED 보도 인용 (Schneier on Security, 미국, 2024-03-27) Dormakaba Locks Used in Millions of Hotel Rooms Could Be Cracked in Seconds (The Hacker News, 인도, 2024-03-29) Shangri-La Sydney wooden RFID key cards (Hotel Management, 호주) Cutting plastic waste at Edge Hotel School (University of Essex, 영국, 2022-09-14) Strawberry launches Room key in Apple Wallet (Strawberry 보도자료, 노르웨이 본사 북유럽 호텔 그룹)