[단독] 베트남서 국내 항공사 여행 기록 2480만건 노출…9년 치 승객 여권번호 등

광고

2017년 1월7일부터 올해 4월30일까지 베트남의 공항을 거쳐 간 여행객 정보 2억2078만건이 지난 6월 한 ‘화이트해커’ 그룹이 확인하기 전까지 무방비로 노출됐던 것으로 확인됐다. 베트남 국적 서버에 저장된 승객·승무원의 여권과 항공편 정보 등으로, 대한항공·아시아나항공·제주항공·진에어·티웨이항공 등 국내 항공사 5곳의 여객 기록 2480만3512건도 포함돼 있다. 정부는 베트남 당국에 사실 확인을 요청했지만, 넉달이 지나도록 ‘개인정보 유출 정황이 확인되지 않았다’는 취지의 회신만 받은 상태다.

21일 한겨레 취재를 종합하면, 한국인터넷진흥원(KISA)은 6월4일 글로벌 보안 연구그룹 킨류랩스로부터 ‘베트남 승객 정보 시스템으로 추정되는 데이터베이스의 개인정보 유출 가능성’을 신고받았다. 킨류랩스는 인터넷에 노출된 데이터베이스의 보안 취약점을 확인하다 베트남에서 수상한 데이터가 담긴 저장소를 접했다. 킨류랩스가 연 107GB(기가바이트) 규모의 저장소에는 2017년 1월7일부터 올해 4월30일까지 베트남을 거쳐 간 승객 기록 2억1천만여건과 승무원 기록 1046만여건이 있었다. 각 기록에는 이름·생년월일·성별·국적·여권 번호 등과 같은 개인정보에 더해, 항공편명과 출발지·도착지·수하물 식별번호·좌석 정보까지 연결돼 있었다. 기록에 등장하는 전세계 항공사만 1008곳이다. 한국을 비롯해 중국·일본·네덜란드 등 여러 국적자의 정보가 포함돼 있었고, 한국인이 많이 찾는 다낭·푸꾸옥 등 베트남의 주요 휴양지를 목적지로 한 기록도 다수 있었다.

킨류랩스는 노출된 자료가 항공사가 국제선 운항 전 목적지 국가에 보내는 사전승객정보(API) 항목 위주로 구성돼 있고, 서버가 베트남 국영 통신사 비엣텔의 네트워크 대역에 있다는 점 등을 근거로 해당 저장소가 베트남 항공 여객정보 처리체계와 관련됐다고 추정했다. 사전승객정보는 목적지 국가가 미리 입국자를 심사할 수 있도록 항공사가 항공기 도착 전에 해당 국가에 제공하는 승객·승무원의 신원 정보 등을 뜻한다. 킨류랩스는 베트남 항공 관련 기관 및 침해사고 대응기관 등에 이런 노출 상황을 전달했으나 회신을 받지 못해 관리 주체를 확인하지 못했다.

광고

또 킨류랩스가 2억건이 넘는 베트남 여행 정보가 쌓여 있는 저장소의 문턱을 넘기 위해, 보안 취약점을 공격하거나 추가 인증을 밟을 필요도 없었던 것으로 전해졌다. 이들은 지난 6월3일 인터넷에 노출된 데이터베이스를 광범위하게 조사하다가 ‘pax-info’라는 이름의 저장소를 발견했다. pax는 항공업계에서 주로 쓰는 승객(passenger)의 약어다. 연구진은 저장소 구동 프로그램에 ‘초기화’ 상태의 사용자명과 비밀번호를 입력하니 관리자 권한으로 승객 개인정보를 조회할 수 있었다고 설명했다. 예를 들어, ‘1234/1234 또는 admin/admin’처럼 초기 설정에 주로 쓰이는 정형화된 아이디와 비밀번호를 입력하니 곧바로 관리자 권한으로 로그인돼 마음대로 정보를 볼 수 있었다는 뜻이다. 김채영 킨류랩스 연구원은 한겨레에 “2억건의 기록을 외부에서 관리자 권한으로 접근할 수 있었다는 점에서 매우 심각한 보안 위험이 존재했던 사례”라고 평가했다.

허술한 보안 상태로 수년 동안 정보가 무방비로 노출됐을 가능성도 제기했다. 승객 정보 저장 공간이 2022년 9월에 만들어졌고, 그해 10월부터 외부 인터넷에서 해당 서버를 관측할 수 있었던 점 등을 근거로 들었다. 킨류랩스는 베트남·한국·일본 등 수상한 데이터와 관련된 정부 기관에 이런 사실을 알렸고, 이후 서버는 6월7일부터 외부에서 접근이 막혔다.

광고

광고

그러나 수천만건에 이르는 국내 항공사 이용객의 여행 정보가 실제 유출되었는지 정확히 확인되지 않은 상황이다. 개인정보보호위원회는 신고를 토대로 베트남 정부에 협조 요청을 했지만, 베트남 쪽으로부터 구체적인 조사 내용을 전달받았는지 여부 등은 공개하지 않고 있다. 개인정보위는 한겨레와 이주희 더불어민주당 의원의 확인 요청에 “베트남 정부에서 사실관계 확인을 지속적으로 추진 중이며, 아직까지 개인정보 유출 정황은 확인되지 않은 것으로 알고 있다”며 “개인정보 유출 가능성에 대비해 다크웹 모니터링을 강화하고 있다”고 설명했다. 정보가 노출된 서버의 관리 주체가 누구인지, 유출이 없다는 베트남 정부의 판단 근거 등을 묻는 질문에는 “구체적으로 확인해줄 수 없다”고만 답했다.

베트남 공항을 거쳐간 2억여건의 항공 여객 정보 노출 정황은 국경을 넘은 개인정보의 보호관리체계에 중대한 허점이 존재할 수 있음을 보여준다. 국내에서 개인정보 유출이 빈번히 발생하면서 정부와 기업 등이 보안책 마련에 부심하고 있지만, 우리가 통제하기 어려운 국외에서 대규모 정보가 유출될 수 있는 가능성이 확인된 셈이다.

광고

데이터베이스의 관리 주체를 규명하고 정보 유출 여부 등을 확인하기 위한 국제 공조가 활성돼야 한다는 지적이 나온다. 최경진 가천대 교수(법학)는 “국외 이전 정보의 관리·감독과 안전조치가 제대로 이뤄지는지 확인을 위해 국제 공조가 필요해 보인다”고 지적했다. 이주희 더불어민주당 의원은 “정부는 베트남 당국과 긴밀히 협력해 유출 여부를 끝까지 확인하고, 만일의 피해에 대비해야 한다”고 말했다.