국내 여행 플랫폼 마이리얼트립에서 여권번호와 여권 만료일 등 고유식별정보가 해킹 세력에 유출됐다.
29일 마이리얼트립의 공식 안내에 따르면 회사는 지난 25일 권한 없는 외부 세력이 내부 시스템에 침투해 고객 개인정보를 대거 빼내 간 사실을 확인했다.
이번 사고로 이름과 이메일, 휴대전화번호, 생년월일, 성별, 암호화된 비밀번호가 새어 나갔고 일부 고객의 여권번호와 여권 만료일까지 포함됐다.
회사는 결제수단 정보와 여행 예약 내역은 유출되지 않았다고 선을 그었다. 다만 해외여행을 주력으로 하는 플랫폼에서 가장 엄격히 보호해야 할 여행자 식별정보가 외부로 넘어갔다는 점에서 파장이 크다.
여권번호는 개인정보보호법상 엄격한 안전조치 기준이 적용되는 고유식별정보다. 일반 회원 데이터베이스와 분리 저장하고 필수 암호화와 강력한 접근 통제를 갖춰야 한다.
해커가 한 번의 비정상적 접근으로 기본 신상정보와 여권 상세 내역을 동시에 훑어갔다면 망 분리와 데이터베이스 암호화, 접근 권한 세분화 등 기초 보안 통제가 제대로 작동하지 않았다는 방증이라는 지적이 나온다.
여행 업계는 고객 유치와 외형 성장에 치중하면서 여권 사본과 세부 일정을 모아두고도 보안 투자를 미뤄왔다는 비판을 받아왔다.
유출된 여권번호와 이름, 생년월일, 연락처가 결합되면 다크웹 등에서 타깃형 보이스피싱이나 스미싱, 명의도용 대포폰 개통, 불법 금융 거래에 악용될 위험이 커진다.
회사는 25일 비정상 접근을 포착하고도 이용자 공지는 사흘 뒤에야 했다. 그 사이 피해자들은 유출 사실을 모른 채 2차 보안 위협에 노출됐다.
유출 피해자 수와 구체적인 침입 경로, 내부 망 침투 수준 등에 대해서도 회사가 명확한 수치를 내놓지 않아 피해 규모를 축소하려는 것 아니냐는 의구심도 나온다.
마이리얼트립은 사고 인지 즉시 비정상 접근을 차단하고 관계기관에 신고했으며 모니터링을 대폭 강화했다고 밝혔다. 피해 이용자에게 손해배상 청구와 개인정보 분쟁조정 절차를 안내하겠다고도 덧붙였다.
다만 이미 유출된 여권 정보는 회수할 수 없어 피해자들은 자비로 여권을 재발급받거나 신원 도용 불안에 시달려야 하는 처지다.
개인정보보호 당국은 앞서 수백만 명의 개인정보가 유출된 대형 여행사에 수억 원대 과징금과 시정명령을 부과하며 제재 수위를 높여왔다.
누적 가입자 1000만 명을 돌파하며 유니콘 기업을 노리던 마이리얼트립도 개인정보보호위원회의 고강도 조사와 대규모 과징금 처분을 피하기 어려울 전망이다.
