맥도날드 인도네시아가 고객 데이터 플랫폼을 통해 4천만 건 이상의 기록을 노출했다고 Security Magazine의 보고서가 전했다. 맥도날드 인도네시아의 4천만 건 기록 노출은 가장 큰 프라이버시 위험이 종종 고객이 볼 수도, 감사할 수도 없는 시스템에 존재한다는 점을 상기시켜 주는 유용한 사례다.

원문 보고서는 짧으며, 우리는 이 기사를 그것이 확인해 주는 내용으로 한정한다. 세부 사항이 공개되지 않은 부분에 대해서는 그렇다고 밝힌다.

맥도날드 인도네시아 사건에서 노출된 것

확인된 사실은 간단하다. 맥도날드 인도네시아가 4천만 건 이상의 기록을 노출했으며, 이 노출은 고객 데이터 플랫폼과 연관되어 있었다. 우리가 검토한 요약은 해당 기록에 어떤 필드가 포함되어 있었는지, 얼마나 오랫동안 접근 가능했는지, 또는 누군가 부적절하게 접근했는지를 명시하지 않는다. 우리는 이러한 세부 사항을 추측하지 않을 것이다.

여기서 "노출"이라는 단어가 중요하다. 이는 접근 가능해서는 안 될 때 접근 가능했던 데이터를 뜻하며, 반드시 공격자에 의한 절도가 확인된 것과 같은 의미는 아니다. 회사나 조사관이 더 많은 내용을 발표할 때까지, 독자들은 정확한 영향을 알 수 없는 것으로 간주해야 한다.

고객 데이터 플랫폼이 집중된 위험을 만드는 이유

고객 데이터 플랫폼(CDP)은 여러 출처에서 고객에 관한 정보를 한곳으로 끌어모으는 시스템이다. 대형 레스토랑 브랜드의 경우, 이는 로열티 프로그램, 모바일 앱, 마케팅 캠페인, 주문 시스템에서 나온 데이터가 모두 통합 프로필로 결합되는 것을 의미할 수 있다. 기업은 이를 활용해 제안을 개인화하고 캠페인을 측정한다.

설계 자체가 위험이다. 많은 개인 데이터 흐름이 단일 플랫폼으로 유입되면, 하나의 잘못된 설정이나 취약한 접근 제어로 인해 한 번에 매우 많은 사람이 노출될 수 있다. 이는 단일 사건이 4천만 건이라는 규모에 도달하는 방식에 대한 그럴듯한 설명이지만, 원문은 이 사례에서 무엇이 잘못되었는지 말하지 않는다.

투명성 격차도 존재한다. 고객으로서 당신은 일반적으로 다음을 볼 수 없다:

  • 브랜드가 당신의 데이터를 저장하기 위해 사용하는 서드파티 플랫폼이 무엇인지
  • 당신의 기록이 얼마나 오래 보관되는지
  • 회사 내부 또는 외부의 누가 그것에 접근할 수 있는지
  • 플랫폼이 어떻게 보호되는지

당신은 앱이나 리워드 프로그램에 가입할 때 약관에 동의하지만, 그 이후에 무슨 일이 일어나는지 확인할 의미 있는 방법은 거의 없다.

이는 한 회사만의 문제가 아니다. 4천만 건의 기록이 노출된 차터에 대한 ShinyHunters 비싱 공격에 관한 우리의 보도는, 매우 다른 경로를 통해 대규모의 고객 기록이 잘못된 손에 들어간 또 다른 사례를 보여준다.

이런 종류의 노출에 대해 VPN이 할 수 있는 것과 할 수 없는 것

VPN은 거의 모든 프라이버시 대화에서 등장하므로, 그 한계를 정확히 짚을 가치가 있다. VPN은 기기와 VPN 서버 사이의 인터넷 트래픽을 암호화하고 방문하는 사이트로부터 당신의 IP 주소를 가린다. 이는 공용 Wi-Fi에서 그리고 인터넷 제공업체가 관찰할 수 있는 것을 제한하는 데 유용하다.

VPN은 회사가 이미 보유하고 있는 데이터를 보호하지 않는다. 만약 당신이 로열티 앱에 이름, 전화번호, 이메일 주소를 제공했다면, 그 정보는 회사의 시스템에 있으며, 서버 측의 잘못 설정된 플랫폼은 당신의 연결이 영향을 미칠 수 있는 범위 밖에 있다. 트래픽을 암호화하는 것은 당신이 전혀 건드리지 않는 데이터베이스를 보호하는 데 아무런 도움이 되지 않는다.

따라서 VPN은 위험의 좁은 일부, 즉 전송 중인 데이터에 무슨 일이 일어나는지와 당신의 네트워크가 당신에 대해 무엇을 드러내는지를 다룬다. 이는 이번 사례와 같은 회사 측 노출에 대한 방어책이 아니다.

이것이 당신에게 의미하는 것

만약 당신이 인도네시아에서 맥도날드 앱이나 서비스를 이용한 적이 있다면, 이 사건에 관한 회사의 공식 커뮤니케이션을 주시하라. 원문이 영향을 받은 데이터 유형을 나열하지 않기 때문에, 가장 안전한 가정은 기본 연락처 정보가 관련되었을 수 있고 피싱 시도가 뒤따를 수 있다는 것이다. 이는 확인된 사실이 아닌 예방 조치다.

다른 모든 사람에게 교훈은 더 광범위하다. 당신이 만드는 모든 계정은 당신의 데이터가 크고 중앙집중화된 시스템에 놓일 수 있는 장소를 하나 더 추가한다. 당신은 무엇을 넘겨줄지는 통제하지만, 그것이 얼마나 잘 보호되는지는 통제하지 못한다. 노출을 제한하는 가장 신뢰할 수 있는 방법은 덜 공유하고 더 적은 계정을 유지하는 것이다.

패스트푸드 및 로열티 앱으로 노출을 줄이는 방법

당신은 회사의 데이터 플랫폼을 감사할 수 없지만, 그것이 당신에 대해 보유하는 정보를 줄일 수는 있다:

  1. 계정을 나열하라. 음식 배달, 레스토랑, 로열티 앱을 위해 휴대폰을 확인하고, 잊고 있던 브랜드의 환영 메시지를 이메일에서 검색하라.
  2. 사용하지 않는 것은 삭제하라. 거의 열지 않는 계정은 폐쇄하고 앱은 삭제하라. 앱 제거만이 아니라 설정이나 개인정보 처리방침에서 데이터 삭제 옵션을 찾아라.
  3. 최소한만 공유하라. 가입 시 생년월일, 집 주소, 추가 전화번호와 같은 선택 항목은 건너뛰어라.
  4. 고유한 비밀번호를 사용하라. 비밀번호 관리자는 각 로열티 계정을 분리해 주므로 하나의 노출이 다른 계정을 열지 않는다.
  5. 제공되는 곳에서는 2단계 인증을 켜라.
  6. 예상치 못한 메시지를 의심하라. 최근 구매를 언급하는 제안이나 계정 알림은 피싱 시도일 수 있으므로, 링크를 클릭하는 대신 공식 앱으로 직접 가라.
  7. 권한을 제한하라. 앱이 작동하는 데 필요하지 않은 위치 및 추적 권한은 비활성화하라.

핵심 요약

맥도날드 인도네시아의 4천만 건 기록 노출은 마케팅과 로열티 시스템이 얼마나 막대한 규모로 개인 데이터를 수집할 수 있는지, 종종 고객이 보고 통제할 수 있는 범위를 넘어서서 보여준다. VPN은 당신의 연결을 보호하는 좋은 도구이지만, 회사가 자체 플랫폼에 저장하는 기록을 보호하지는 않는다.

이번 주에 어떤 로열티 및 배달 앱이 당신의 데이터를 보유하고 있는지 검토하고, 더 이상 사용하지 않는 계정은 삭제하라. 대규모 고객 기록 노출의 또 다른 사례를 보려면 차터 침해에 관한 우리의 보도를 읽고, 당신의 계정 중 얼마나 많은 것이 유사한 시스템에 있는지 생각해 보라.