해외여행 상품 중개 플랫폼 ***이 대규모 개인정보 유출 사건에 휘말렸다. 25일 회사 시스템에 권한 없는 외부인이 비정상적으로 접근해 이용자 정보를 빼낸 것으로 확인됐다. 같은 달 29일 홈페이지를 통해 공지된 이번 사건은, 침입 발생으로부터 나흘이 지난 뒤에 공식 발표된 점에서 상당한 규모의 사고였음을 시사한다.
유출된 개인정보는 상당히 광범위한 것으로 전해진다. 크게 세 가지 층위로 나뉜다. 먼저 기본 신상정보인 성명, 생년월일, 성별, 휴대전화번호가 노출됐다. 두 번째는 계정 보안 정보로, 이메일과 암호화된 비밀번호가 포함됐다. 가장 심각한 부분은 여권번호와 여권 만료일까지 빠져나간 것으로 보인다.
여권번호 유출이 다른 개인정보 유출과 구별되는 이유가 있다. 주민등록번호는 분실하면 재발급받을 수 있지만, 여권번호는 그렇지 않다는 점이 핵심인 것으로 보인다. 여권 유효기간이 끝나 새 여권을 받기 전까지, 발급받은 여권번호는 변경되지 않는다. 한 번 노출되면 그 번호는 계속해서 신원 증명 수단으로 악용될 수 있다는 뜻인 것으로 보인다. 여권번호는 국제 거래, 항공사 예약, 비자 신청 등 해외 활동 전반에서 신원 확인 용도로 쓰인다. 변경이 불가능한 데다 국경을 넘나드는 거래에 사용되는 특성상, 피해가 오래 지속될 수 있다는 우려가 제기되고 있다.
***가 여권 정보를 이렇게 대량 보유하게 된 배경도 살펴볼 필요가 있다. 해외여행 상품과 숙박을 중개하는 서비스인 만큼, 항공권 예약이나 호텔 체크인 때 여권 정보 제출은 필수 절차다. 서비스의 사업 특성상 여행자들의 여권 정보를 수집할 수밖에 없는 구조인 것으로 보인다. 결과적으로 이 플랫폼을 이용한 수십만 명의 여권 정보가 한 곳에 대량 저장돼 있었고, 이번 사고로 한꺼번에 노출되는 상황에 이르게 됐다.
온라인 여행 중개 서비스가 늘어나면서 같은 문제가 반복될 가능성도 있다. 여행을 할 때마다 새로운 플랫폼에 여권 정보를 제출해야 하는 구조 자체가 개인정보 유출 위험을 키운다는 지적도 나오는 상황인 것으로 보인다.
이용자들이 지금 당장 취할 수 있는 조치는 제한적인 것으로 보인다. 가장 먼저 해야 할 일은 비밀번호 변경인 것으로 보인다. 암호화 처리됐다고 해도, 신속한 변경이 권장된다는 것이 일반적인 조언인 것으로 보인다. 여권 재발급 여부는 개인의 상황에 따라 판단해야 할 문제로 보인다. 일반 여권 재발급에는 1~2주가 소요되고 발급 수수료도 발생한다. 따라서 앞으로 해외 출입국 일정이 없다면 당장 조치를 취할 필요가 없다는 의견도 있고, 국제 거래가 빈번하다면 재발급을 진지하게 고려해 볼 여지가 있다는 분석도 있다.
📌 원문 발췌
***은 지난 25일 외부의 권한 없는 자가 시스템에 비정상적으로 접근해 이용자 개인정보가 유출된 사실을 확인했습니다. 유출된 개인정보는 성명, 이메일, 휴대전화번호, 생년월일, 성별, 암호화된 비밀번호, 여권번호, 여권 만료일 등입니다.
원본 출처: 더쿠 핫