여행 소프트웨어 제공업체 아마데우스(Amadeus)에서 발생한 데이터 침해 사고로 싱가포르항공(SIA) 예약 기록 46,000건이 영향을 받았다고 스트레이츠 타임스(The Straits Times)가 보도했다. 노출된 정보에는 고객 세부 정보가 포함되어 있지만, 결제 정보는 접근된 대상에 포함되지 않았다. 이번 아마데우스 SIA 데이터 침해 사고는 한 번도 가입한 적 없는 기업에서도 개인 데이터가 유출될 수 있다는 점을 잘 보여주는 사례다.

원문 보도가 짧기 때문에, 이 글은 확인된 사실에만 근거하며 여행자들이 합리적으로 할 수 있는 조치에 초점을 맞춘다.

아마데우스 침해 사고에서 노출된 것

보도에 따르면, 항공사 예약 시스템을 지원하는 소프트웨어 제공업체인 아마데우스에 영향을 미친 사고에서 SIA 예약 기록 46,000건이 불법으로 접근되었다. 해당 기록에는 고객 세부 정보가 포함되어 있었다. 결제 정보는 노출되지 않았다.

이 기사에서는 정확히 어떤 필드가 포함되었는지, 공격자들이 어떻게 침입했는지, 또는 누가 책임이 있는지를 명시하지 않으므로, 우리는 추측하지 않을 것이다. SIA로 예약한 적이 있다면, 항공사가 달리 알려주기 전까지는 이름과 여행 세부 정보처럼 일반적으로 예약과 관련된 정보가 포함되었을 수 있다고 가정하는 것이 가장 안전하다. SIA 또는 아마데우스로부터의 직접적인 통지는 영향을 받은 특정 데이터를 설명해 줄 것이므로 반드시 확인하라.

제3자 예약 시스템이 약한 고리인 이유

대부분의 여행자들은 예약을 자신과 항공사 사이의 관계로 생각한다.但实际上, 예약 데이터는 종종 배후에 있는 기술 제공업체들을 통해 전달되고 저장된다. 당신은 그런 업체들을 선택한 적도 없고, 그들의 개인정보 보호정책을 읽은 적도 없으며, 대개는 거부할 수도 없다.

이것은 구조적인 문제를 만든다. 항공사가 자체 보안에 막대한 투자를 할 수 있지만, 공급업체의 취약점이 여전히 고객을 노출시킬 수 있다. 같은 패턴이 여러 산업에서 나타난다. EY 데이터 침해 사고에서 골드만삭스와 맨 그룹의 공개에 대한 우리의 보도는 한 제공업체의 사고가 어떻게 여러 고객 조직으로 확대될 수 있는지를 보여주었다. 마찬가지로, 약 40,000명의 고객을 노출시킨 세이프팔(SafePal) 데이터 침해 사고는 제품 자체뿐만 아니라 제품을 둘러싼 시스템을 통해 고객 데이터가 취약해지는 또 다른 예이다.

여행자들에게 실질적인 시사점은 당신의 데이터를 보유한 조직의 수가 당신이 거래하는 브랜드의 수보다 많다는 것이다.

카드 데이터 없는 침해 사고도 중요한 이유

결제 세부 정보가 도난당하지 않았다는 소식을 들으면 안심하고 싶어지기 마련이다. 이는 직접적인 카드 사기 위험을 낮춰주기 때문에 좋은 소식이다. 그러나 예약 기록은 다른 이유로 범죄자들에게 여전히 가치가 있다: 맥락을 제공하기 때문이다.

실제 이름과 실제 예정된 여행을 언급하는 메시지는 일반적인 사기보다 훨씬 설득력이 있다. 공격자들은 그런 세부 정보를 이용해 항공사, 여행사, 또는 결제 서비스에서 온 것처럼 보이는 피싱 이메일이나 문자를 만들어 예약을 "확인"하거나 환불을 청구하거나 세부 정보를 업데이트하도록 재촉할 수 있다. 개인 정보는 다른 유출 데이터와 결합되어 더 완전한 프로필을 구축할 수도 있으며, 이는 신원 사기를 시도하기 쉽게 만든다.

이것은 침해 사고 보도에서 반복되는 주제이다. 가장 명백하게 민감한 필드가 spared되더라도, 유출된 개인 세부 정보는 유포되고 재사용되는 경향이 있다. 하와이 덴탈 그룹에 대한 Qilin의 40,000명 환자 침해 주장에 대한 우리의 보고서는 다른 분야이지만 교훈은 비슷하다: 기록이 조직의 통제를 벗어나면, 하류 위험은 초기 헤드라인보다 훨씬 오래 지속된다.

영향을 받은 승객들이 지금 할 수 있는 조치

공황에 빠질 필요는 없지만, 몇 가지 신중한 조치는 가치가 있다:

  • 공식 통지를 주시하라. SIA나 아마데우스가 연락한다면 주의 깊게 읽어라. 이메일의 링크를 클릭하지 말고 주소를 직접 입력하여 항공사 웹사이트에 접속하라.
  • 예상치 못한 여행 메시지를 의심하라. 변경된 항공편, 환불, 좌석 업그레이드, 또는 요청하지 않은 예약 확인에 관한 이메일이나 문자를 경계하라. 정확한 세부 정보가 포함되어 있더라도 마찬가지다.
  • 항공사 계정을 보호하라. 고유하고 강력한 비밀번호를 사용하고, 2단계 인증이 제공된다면 활성화하라. 다른 곳에서 같은 비밀번호를 재사용했다면 그곳에서도 변경하라.
  • 상용 고객 계정을 확인하라. 최근 활동과 연결된 연락처 세부 정보에서 낯선 점이 없는지 검토하라.
  • 금융 계정을 모니터링하라. 결제 데이터는 관련되지 않았다고 보도되었지만, 정기적인 확인은任何 침해 사고 후에 현명한 습관이다.
  • 공유하는 정보를 제한하라. 예약에 필요한 세부 정보만 제공하고, 제3자 사이트에서 요청하는 추가 정보에 대해서는 주의하라.

이것이 당신에게 의미하는 것

싱가포르항공으로 비행했거나 예약했다면, 당신의 정보는 한 번도 직접 거래한 적 없는 회사가 운영하는 시스템에 있을 수 있다. 결제 데이터가 없다는 보도는 안심이 되지만, 실제 단기적 위험은 진짜 예약 세부 정보를 이용해 합법적인 것처럼 보이는 표적형 피싱이다. 클릭하기 전에 속도를 늦추고, 모든 요청을 공식 채널을 통해 확인하는 것이 가장 강력한 방어책이다.

더 넓게 보면, 당신이 사용하는 모든 서비스 배후의 모든 공급업체를 감사할 수는 없지만, 하나가 실패할 때 피해를 줄일 수는 있다. 고유한 비밀번호, 2단계 인증, 그리고 요청하지 않은 메시지에 대한 건전한 회의주의가 큰 도움이 된다.

핵심 요점

아마데우스 SIA 데이터 침해 사고는 예약 기록 46,000건에 영향을 미쳤으며, 보도에 따르면 결제 정보는 포함되지 않았다. 오늘 항공사 계정 보안을 검토하고, 여행 계획을 언급하는 피싱에 주의하며, 예상치 못한 모든 것을 공식 채널을 통해 확인하라. 제3자 노출이 어떻게 전개되는지에 대한 더 많은 내용은 EY 데이터 침해 사고와 그 지목된 피해자들 및 세이프팔 침해 사고에 대한 우리의 보도를 읽어라.