블룸버그에 따르면 싱가포르항공(Singapore Airlines Ltd.)이 주요 소프트웨어 공급업체 중 한 곳에서 발생한 데이터 유출로 피해를 입은 최신 항공사가 되었다. 보도에 따르면 이번 해킹으로 업계 전반에서 침해된 예약 건수는 현재 20만 건을 넘어섰다. 싱가포르항공 데이터 유출 사건은 여행 데이터가 종종 직접 선택하지 않은 기업에 보관된다는 점을 상기시켜 준다.

공급업체 유출이 싱가포르항공에 이르기까지

이 사건은 항공사 내부에서 시작되지 않았다. 블룸버그는 이를 싱가포르항공의 주요 소프트웨어 공급업체 중 한 곳에서 발생한 유출로 설명하며, 싱가포르항공은 이에 휘말린 최신 항공사이다. 업계 전체에서 20만 건 이상의 예약이 침해되었다는 집계는 얼마나 많은 항공사가 동일한 시스템에 의존하고 있는지를 보여준다.

이것이 핵심 교훈이다. 항공사들은 예약, 체크인 및 기타 기능을 전문 공급업체에 외주화한다. 하나의 공급업체가 침해되면, 각 항공사의 자체 네트워크가 전혀 침해되지 않았더라도 해당 업체를 이용하는 모든 항공사로 피해가 확산될 수 있다.

이 사건의 초기 단계에 대한 배경은 Amadeus 유출로 싱가포르항공 예약 기록 4만 6천 건 노출을 다룬 우리의 보도를 참조하면, 해당 공급업체 사건이 싱가포르항공에서 처음 어떻게 드러났는지 설명되어 있다. 블룸버그 보도는 한 항공사에서 업계 전체로 시야를 넓혀준다.

어떤 예약 데이터가 노출될 수 있나

블룸버그 요약은 정확히 어떤 항목이 유출되었는지를 나열하지 않으며, 우리는 추측하지 않을 것이다. 여행 예약 기록에는 일반적으로 이 기사의 제안된 관점이 지적하는 종류의 세부 정보, 즉 여행자 이름, 연락처 정보, 여정 등이 포함된다. 항공사와 affected 공급업체가 개별 사안에서 정확히 무엇이 관련되었는지 확인할 수 있는 최적의 위치에 있다.

결제 데이터가 없더라도 그러한 항목들은 실질적인 가치를 지닌다. 이름과 이메일 주소, 전화번호, 항공편 날짜가 결합되면 누군가가 설득력 있는 메시지를 작성하기에 충분한 맥락이 제공된다. 여정은 당신이 언제 어디에 있을지를 보여주기 때문에 특히 유용하다.

여행 유출 이후 피싱 및 계정 탈취 위험

이와 같은 유출의 주요 실질적 위험은 표적화된 기만이다. 예약 세부 정보를 아는 사기꾼은 항공사를 사칭하여 일상적으로 보이는 메시지를 보낼 수 있다:

  • 항공편이 변경되었으니 예약을 "확인"해야 한다는 통지.
  • 카드 정보를 요구하는 환불 제안.
  • 가짜 로그인 페이지로 연결되는 링크가 포함된 체크인 알림.
  • 고객 서비스를 사칭하며 인증 코드를 요구하는 전화나 문자.

마지막 항목은 계정 탈취와 관련하여 중요하다. 사기꾼이 당신으로 하여금 일회용 코드를 읽게 하거나 가짜 페이지에 비밀번호를 입력하게 하면, 그들은 당신의 로열티 또는 예약 계정에 접근할 수 있다. 메시지가 실제 여행 세부 정보를 언급하기 때문에 일반 스팸보다 더 신뢰감을 준다.

유사한 공급업체 주도 노출이 다른 싱가포르 조직에도 발생했다. SLA 기록 7만 건을 노출시킨 IBM 테스트 시스템 유출은 조직 자체의 정문이 아닌 제3자 환경을 통해 데이터가 노출된 또 다른 사례이다.

여행 공급업체와 공유하는 개인 데이터 줄이기

공급업체의 보안을 통제할 수는 없지만, 유출될 수 있는 정보를 제한할 수는 있다.

  • 필요한 것만 공유하라. 예약에 정말로 필요하지 않다면 추가 전화번호, 집 주소, 문서 세부 정보와 같은 선택 항목은 건너뛰어라.
  • 여행용 전용 이메일 주소를 사용하라. 별도의 주소는 의심스러운 메시지를 더 쉽게 발견할 수 있게 하고 유출 시 피해를 제한한다.
  • 너무 많은 서비스를 연결하지 마라. 연결된 계정이 적을수록 공격자의 경로도 적어진다.
  • 예약 확인서를 깔끔하게 유지하라. 더 이상 필요 없는 오래된 확인서는 삭제하라.
  • 강력한 로그인 보호를 활성화하라. 고유한 비밀번호를 사용하고, 제공되는 경우 앱 기반 또는 하드웨어 2단계 인증을 사용하라.

이는 싱가포르에서 회원 11만 명을 공격한 Alliance Medinet 데이터 유출과 같은 다른 최근 사건들의 배후에 있는 것과 동일한 원칙이다. 즉, 서비스가 당신에 대해 보유한 민감한 세부 정보가 적을수록 노출될 것도 적어진다.

이것이 당신에게 의미하는 것

최근에 싱가포르항공이나 다른 항공사를 이용했다면, 예약 세부 정보가 관련되어 있을 수 있다고 가정하고 그에 따라 행동하라. 당황할 필요는 없지만, 여행 메시지를 처리하는 방식을 바꿔야 한다. 예약, 환불, 체크인에 관한 예상치 못한 이메일, 문자, 전화는 확인될 때까지 의심스러운 것으로 취급하라.

가장 안전한 습관은 메시지 내 링크를 무시하고 항공사의 공식 앱이나 웹사이트를 직접 입력하여 방문하는 것이다. 거기서 예약을 확인하라. 문제가 나열되어 있지 않다면 그 메시지는 아마 진짜가 아니었을 것이다. 먼저 연락해 온 누구에게도 일회용 코드를 절대 공유하지 마라.

핵심 요점

싱가포르항공 데이터 유출은 단일 공급업체의 실패가 어떻게 업계 전체에 파급될 수 있는지를 보여주며, 현재 20만 건 이상의 예약이 침해된 것으로 보고되었다. 예상치 못한 예약, 환불, 체크인 메시지에 대해 행동하기 전에 잠시 멈추고, 공식 채널을 통해 확인하며, 애초에 여행 공급업체와 공유하는 개인 데이터를 줄여라. 공급업체 사건이 어떻게 시작되었는지 이해하려면 Amadeus 유출 및 싱가포르항공 예약 기록에 관한 우리의 이전 보도를 읽어라.