마일리지 해킹 뉴스 뒤, 먼저 잠글 설정 3가지

지금 무슨 일이 있었나

항공권 예약 시스템을 운영하는 아마데우스가 외부 침입을 당하면서 여러 항공사 고객 정보가 조회된 정황이 드러났다. 일본항공에서는 약 9만2000명의 예약정보가 조회됐고, 이 가운데 약 2000명은 여권번호·연락처·마일리지 회원번호까지 열람된 흔적이 확인됐다. 캐세이퍼시픽도 2023년 8월부터 2026년 9월까지 약 5만3000건이 영향을 받았고 일부 마일리지 번호가 포함됐다. 대한항공과 아시아나항공도 아마데우스로부터 피해를 통보받아 고객에게 공지했다.

주목할 점은 침입 방식이다. 랜섬웨어나 코드 결함이 아니라 계정 로그인 자격증명을 훔치는 방식이 쓰였다. 공격자는 IT 지원 부서를 속여 정상 로그인 권한을 얻은 뒤 3년 넘게 들키지 않고 데이터를 들여다본 것으로 추정된다. 결제 정보는 포함되지 않은 것으로 파악됐지만, 유출된 예약번호와 연락처는 그 자체로 피싱의 재료가 된다.

왜 마일리지가 먼저 노려지나

Jakub Zerdzicki

마일리지는 사실상 현금이다. 항공권이나 상품으로 바꿀 수 있는데, 한 번 빠져나가면 되돌리기 어려운 경우가 많다. 공격자 입장에서는 카드보다 추적이 느슨하고 환금 경로가 있다는 점이 매력이다.

더 큰 문제는 비밀번호 재사용이다. 다른 사이트에서 새어 나온 아이디·비밀번호를 여러 서비스에 자동으로 대입하는 '크리덴셜 스터핑' 공격은 봇으로 대량 시도된다. 마일리지 계정에 다른 곳과 같은 비밀번호를 썼다면, 이번 유출과 직접 관계가 없어도 언제든 열릴 수 있다는 뜻이다.

이번 사고가 무서운 건 비밀번호가 아니라 '맥락'이 샜다는 데 있다. 예약번호와 연락처, 이름을 쥔 공격자는 항공사를 사칭해 그럴듯한 문자나 메일을 보낼 수 있다. 실제 예약 정보가 적힌 피싱은 평소보다 속기 쉽다.

가장 먼저 잠글 세 가지

해킹 소식을 들었다면 순서대로 손본다.

1. 비밀번호와 2단계 인증. 마일리지 계정 비밀번호를 다른 어디에도 쓰지 않는 것으로 바꾸고, 2단계 인증을 켠다. 로그인 정보가 새도 두 번째 인증이 없으면 접속이 막힌다. 계정과 연결된 이메일에도 똑같이 적용한다.
2. 로그인·연락처 변경 알림. 새 기기에서 로그인하면 알림이 오도록 설정한다. 특히 연락처나 이메일이 바뀔 때 알림을 받아 둔다. 공격자는 계정을 가로챈 뒤 연락처부터 바꿔 알림을 끊기 때문이다.
3. 연동 계정과 신뢰 기기. 소셜 로그인이나 제휴 서비스로 연결해 둔 계정을 점검하고, 쓰지 않는 연동은 해제한다. 로그인 기록에서 낯선 기기는 신뢰 목록에서 지우고, 공용 PC에서는 접속하지 않는다.

도용이 의심될 때 확인할 것

• 마일리지 적립·사용 내역에 모르는 거래가 있는지 본다.
• 로그인 기록에 낯선 지역·기기·시간이 찍혔는지 확인한다.
• 등록된 이메일과 전화번호가 내 것이 맞는지 다시 본다.
• 이상이 있으면 비밀번호를 즉시 바꾸고 항공사 고객센터에 신고한다. 마일리지는 신고가 빠를수록 동결·복구 가능성이 높다.

지금까지 국내 항공사에서 개인 마일리지 계정이 직접 탈취돼 부정 사용됐다는 공식 확인은 없다. 하지만 유출된 연락처가 돌고 비밀번호를 재사용한 상태라면 위험은 남는다. 설정 몇 개를 미리 잠가 두는 쪽이, 사라진 마일리지를 뒤늦게 쫓는 것보다 싸게 먹힌다.

출처

1. 일본항공 예약시스템 뚫렸다…9만명 개인정보 노출
2. 캐세이퍼시픽도 고객 정보 유출…아마데우스 시스템 해킹
3. 유출 계정 기반 크리덴셜 스터핑 공격의 피해 사례와 대응 방안
4. 크리덴셜 스터핑 공격에 효과적인 대응 방안