여행 데이터 유출 연구가 말해주는 것
여행 한 번으로 개인정보가 생각보다 훨씬 많은 곳에 저장됩니다. 항공사와 호텔은 당연하고, 예약 사이트, 렌터카 업체, 철도 운영사, 마일리지 프로그램, 투어 업체, 기타 소규모 서비스까지 각각 나름의 정보를 수집하죠.
NordVPN과 Saily 연구팀은 2021년 1월부터 2026년 8월까지 발생한 여행 관련 보안 사고를 분석해 여행 회사가 해킹당했을 때 해당 데이터에 어떤 일이 일어나는지 살펴봤습니다.
연구팀은 1억 1,940만 건의 유출된 여행자 기록을 확인했지만, 전체 건수가 전부는 아닙니다. 연구 결과 두 가지 매우 다른 패턴이 드러났습니다. 일부 여행 회사 유형은 훨씬 자주 유출 사고에 연루됐고, 다른 유형은 사고 횟수는 적지만 한 번에 훨씬 더 많은 사람이 영향받았습니다.
노출된 데이터도 계정 자격 증명에 국한되지 않았습니다. 여행 관련 유출 사고에는 변경하기 어렵거나 때로는 불가능한 개인정보가 자주 포함됐습니다.
그렇다면 취약점은 어디에 있고, 여행자들은 어떤 정보를 남기고 있을까요? 연구 결과를 살펴보겠습니다.
여행 데이터 유출은 일정한 패턴을 따르지 않는다
연구팀은 분석 기간 119,433,433건의 유출된 여행자 기록을 확인했습니다. 하지만, 이 기록들은 연도별로 고르게 분포되지 않았습니다.
2021년에만 278건의 유출 사고에서 3,740만 건 이상의 기록이 확인됐습니다. 이는 데이터셋에서 가장 높은 사고 건수로, 주로 소규모 예약 플랫폼 유출이 집중적으로 발생했기 때문입니다. 2022년에는 사고 건수가 43건으로 크게 줄었지만, 여전히 약 2,200만 건의 기록이 노출됐습니다. 그다음 해에는 관찰된 유출 사고가 23건에 불과했지만 거의 3,000만 건의 기록이 노출됐습니다.
유출 사고 건수가 많다고 해서 항상 더 많은 기록이 노출되는 것은 아닙니다. 2021년 데이터셋은 2023년보다 12배 이상 많은 유출 사고를 포함했지만, 노출된 기록은 약 25% 더 많았을 뿐입니다. 몇 건의 대규모 유출만으로도 균형이 빠르게 무너질 수 있습니다.
여행자에게는 양쪽 모두 중요합니다. 한 분야에서 빈번하게 소규모 유출이 일어날 수도 있고, 가끔 한 번에 수백만 명에게 영향을 미치는 사고가 발생할 수도 있습니다.
가장 큰 피해를 본 여행 분야
소규모 투어 업체의 데이터 유출은 대형 항공사의 유출과 매우 다릅니다. 전자는 영향받는 고객이 적을 수 있지만 유사한 사고 중 하나일 수 있고, 후자는 한 번에 엄청난 수의 여행자 정보를 노출할 수 있습니다.
이러한 차이를 고려해 연구팀은 영향을 받은 회사들을 다섯 가지 여행 분야로 분류했습니다.
- 항공사
- 호텔 및 리조트
- 마일리지 및 리워드 프로그램
- 예약 플랫폼, 온라인 여행사(OTA), 투어 및 액티비티 제공업체
- 렌터카, 크루즈, 철도 회사
렌터카, 크루즈, 철도 회사는 관찰된 노출 기록의 가장 큰 비중을 차지해 27.7%를 기록했습니다. 예약 플랫폼, OTA, 투어 및 액티비티 제공업체가 24.6%로 근소하게 뒤를 이었고, 호텔 및 리조트가 23.7%, 항공사가 21.2%를 차지했습니다. 마일리지 및 리워드 프로그램은 나머지 2.8%를 차지했습니다.
예약 플랫폼, OTA, 투어 업체, 액티비티 제공업체는 연구에서 가장 자주 유출 사고가 발생한 카테고리로 274건의 사고를 차지했습니다. 이 그룹에는 대형 예약 사이트부터 소규모 에이전시, 지역 투어 업체, 액티비티 제공업체까지 규모가 매우 다른 사업체들이 포함됩니다.
항공사는 정반대의 패턴을 보였습니다. 연구팀은 예약, OTA, 투어, 액티비티 카테고리의 274건과 비교해 항공사 유출은 21건만 확인했습니다. 그러나 그 21건의 사고로 2,520만 건 이상의 기록이 노출됐습니다. 항공사 유출 1건당 평균 약 120만 건의 기록이 포함됐는데, 이는 예약, OTA, 투어, 액티비티 제공업체 평균인 약 107,000건의 11배가 넘는 수치입니다.
여행 데이터 유출에서 어떤 정보가 노출되나요?
연구 대상이 된 모든 유출 사고에는 이메일 주소가 포함됐습니다. 유출 규모 측정에 고유한 노출 이메일 주소가 사용됐기 때문입니다. 하지만 대부분의 사고에는 다른 개인정보도 포함됐습니다.
분석된 유출 사고의 92%에 성명이 포함됐고, 87%에 전화번호, 78%에 주소가 나타났습니다. 절반 이상에는 생년월일(55%)과 성별 정보(53%)가 포함됐으며, 46%에는 비밀번호가 포함됐습니다. 국적은 19%의 유출 사고에, 정부 발급 신분증 정보는 11%에 나타났습니다.
이러한 정보가 합쳐지면 한 사람에 대한 정확한 그림을 그릴 수 있습니다. 유출된 여행 데이터에 접근한 누군가는 당신의 성명, 거주지, 연락처, 생년월일을 알 수 있습니다. 제공업체와 유출 사고에 따라 노출된 정보에는 국적이나 신분증 세부 정보도 포함될 수 있습니다.
여행 데이터는 대부분 변경하기 어렵기 때문에 특히 민감할 수 있습니다. 유출된 비밀번호는 재설정할 수 있지만, 생년월일이나 기타 개인 식별 정보는 변경할 수 없습니다.
데이터는 여행보다 오래 남을 수 있다
연구는 덜 명백한 문제도 지적합니다. 여행자는 한 번 이용하고 잊어버린 회사에 여전히 개인 데이터가 저장돼 있을 수 있습니다. 예약 플랫폼, OTA, 투어 업체, 액티비티 제공업체는 분석된 유출 사고의 절반 이상을 차지했으며, 이러한 서비스 중 상당수는 한 번의 여행에만 필요할 수 있습니다.
5년 전에 이용한 항공사는 기억할 수 있겠지만, 이용했던 모든 현지 투어 회사, 렌터카 서비스, 예약 사이트를 기억하지는 못할 것입니다. 회사의 정책과 법적 요구 사항에 따라 이러한 서비스는 여행이 끝난 후에도 고객 정보를 보관할 수 있습니다. 따라서 거의 기억하지 못하는 오래된 계정에도 몇 년 후 회사가 해킹당했을 때 여전히 개인정보가 포함돼 있을 수 있습니다.
여행 시 개인 데이터를 덜 공유하는 방법
여행자는 모든 항공사, 호텔, 예약 서비스가 인프라를 어떻게 보호하는지 통제할 수 없습니다. 하지만 제공하는 정보에 대해서는 더 신중할 수 있습니다. 몇 가지 간단한 습관으로 남기는 민감한 정보를 줄일 수 있습니다.
- 불필요한 계정 생성을 피하세요. 계정을 만들기 전에 정말 필요한지, 아니면 게스트 체크아웃으로 예약을 완료할 수 있는지 생각해 보세요.
- 고유한 비밀번호와 다중 인증(MFA)을 사용하세요. 계정마다 고유한 비밀번호를 사용하면 한 제공업체에서 노출된 자격 증명이 다른 곳에서 재사용될 수 없습니다. MFA는 추가 확인 단계를 더해 도난당한 비밀번호만으로 계정에 접근하기 어렵게 만듭니다.
- 저장된 개인정보를 삭제하세요. 서비스가 더 이상 필요하지 않으면 저장된 결제 수단과 신분증을 삭제하세요.
- 신분증 업로드 시 신중하세요. 여권 및 기타 정부 발급 신분증이 필요한 경우도 있지만, 양식에서 요청한다고 해서 무조건 신분증을 업로드하지 마세요. 왜 문서를 요청하는지, 어떻게 사용할 것인지, 다른 방법으로 필요한 정보를 제공할 수 있는지 확인하세요.
- 오래된 여행 계정을 검토하세요. 더 이상 필요하지 않은 여행 계정을 삭제하고, 적절한 경우 관련 개인 데이터의 삭제를 요청하세요.
- 경계를 늦추지 마세요. 과거 예약에 관한 예상치 못한 이메일이나 메시지는 의심하세요. 특히 로그인, 정보 공유, 결제를 요청하는 경우 더 조심하세요.
연구 방법론
NordVPN과 Saily 연구팀은 NordLayer Intelligence 위협 노출 관리 플랫폼을 통해 제공되는 데이터를 사용해 2021년 1월 1일부터 2026년 8월 18일까지의 과거 유출 데이터를 분석했습니다.
연구팀은 분석 기간의 유출 카탈로그를 검토하고 항공사, 호텔 및 리조트, 온라인 여행사, 투어 및 액티비티 제공업체, 마일리지 프로그램, 렌터카, 크루즈, 철도 회사와 관련된 사고를 분류했습니다. 각 유출 사고는 영향받은 조직의 이름, 도메인, 설명을 기반으로 분류됐습니다. 연구팀은 가장 큰 사고들을 개별적으로 확인하고 오탐을 제거했습니다.
유출 규모는 고유한 노출 이메일 주소 수로 측정됐습니다. 최종 데이터셋에는 494건의 여행 관련 유출 사고에서 119,433,433건의 여행자 기록이 포함됐습니다.
연구 결과는 분석된 데이터셋에서 관찰된 사고를 나타내며, 전 세계 여행 분야 데이터 유출 또는 노출된 여행자 기록의 전체 수로 해석되어서는 안 됩니다.
