제주항공 고객 100여명의 예약정보 일부가 포털 검색 결과에 노출되는 개인정보 사고가 발생했다.
여권번호 일부까지 외부에서 확인된 것으로 파악되면서 항공권 예매 과정에서 수집되는 개인정보 관리에 대한 우려가 커지고 있다.
11일 항공업계에 따르면 제주항공은 지난 5일 일부 고객의 예약정보가 네이버 검색엔진을 통해 노출된 사실을 확인했다. 노출된 정보에는 고객 이름과 일부가 가려진 여권번호 등 항공권 예약 과정에서 입력된 개인정보가 포함된 것으로 파악됐다.
제주항공은 문제를 확인한 직후 해당 페이지를 차단했다. 개인정보가 검색 결과에 나타나는 것을 막고 추가적인 정보 노출 가능성을 차단하기 위한 조치다.
제주항공 공식 인스타그램
또 사고 사실을 개인정보보호위원회에 신고하고 노출 대상 고객들에게 개별적으로 연락해 개인정보가 외부에 노출된 사실과 후속 조치를 안내하고 있다.
피해 고객에 대한 보상 절차도 진행한다. 제주항공은 노출된 여권정보와 관련해 필요한 경우 여권 재발급에 들어가는 비용을 부담하고, 별도의 보상금 10만원도 지급하기로 했다.
다만 현재까지 어떤 경로를 통해 예약정보가 검색엔진에 노출됐는지, 실제로 어느 정도 기간 동안 해당 정보가 외부에서 확인 가능했는지 등 구체적인 사고 경위는 조사 중이다.
제주항공 측은 정확한 사고 원인과 경위를 파악하고 있다고 밝혔다.
이번 사고에서 특히 주목되는 부분은 단순한 고객정보가 아니라 항공권 예약 과정에서 사용되는 여권 관련 정보가 노출됐다는 점이다.
항공사는 탑승객 확인과 국제선 이용 등을 위해 이름, 생년월일, 여권번호 등 다양한 정보를 수집한다. 이 가운데 여권번호는 일반적인 마케팅 정보와 달리 신분 확인과 관련된 정보인 만큼 이용자 입장에서는 노출 사실 자체만으로도 상당한 불안감을 느낄 수 있다.
더구나 이번 사례는 해킹을 통해 기업 내부 시스템에 침입한 형태가 아니라 검색엔진을 통해 정보가 외부에 노출됐다는 점에서 기업의 개인정보 관리 범위를 어디까지 확대해야 하는지에 대한 문제도 제기한다.
기업의 웹사이트에는 예약 조회, 결제 확인, 고객 문의 등 다양한 기능이 연결돼 있다. 이 과정에서 이용자에게 편의를 제공하기 위해 만들어진 웹페이지가 검색엔진에 노출될 경우 당초 의도와 달리 개인정보가 외부에 공개될 가능성이 있다.
개인정보 보호는 정보를 수집하는 단계에서 끝나는 것이 아니다. 수집된 정보가 어떤 시스템에서 처리되고, 누가 접근할 수 있으며, 웹페이지나 외부 서비스와 어떻게 연결되는지까지 지속적으로 관리해야 한다.
제주항공 공식 인스타그램
특히 검색엔진은 인터넷에 공개된 정보를 자동으로 수집하고 검색 결과에 반영하기 때문에 기업 내부에서만 이용되는 것으로 판단한 페이지가 실제로는 외부에서 접근 가능한 상태가 될 경우 문제가 커질 수 있다.
이번 사고 역시 정확한 원인이 확인돼야겠지만, 기업들이 개인정보를 다루는 과정에서 보안 설정뿐 아니라 검색 노출 가능성까지 점검해야 한다는 점을 보여주는 사례가 될 수 있다.
최근 국내에서는 개인정보 유출 사고가 잇따르면서 이 같은 우려가 더욱 커지고 있다.
온라인동영상서비스(OTT) 티빙에서는 해킹으로 회원정보가 유출되는 사고가 발생했고, SK텔레콤과 쿠팡에서도 대규모 개인정보 유출 사고가 이어지면서 기업의 개인정보 관리 체계가 사회적 관심사로 떠올랐다.
개인정보 유출 사고가 위험한 이유는 한 가지 정보만으로 끝나지 않을 수 있기 때문이다. 이름이나 전화번호, 이메일주소, 예약정보 등이 서로 결합되면 특정 개인을 파악하는 데 활용될 수 있고, 이를 바탕으로 피싱이나 사칭, 스미싱 등의 추가 범죄가 발생할 가능성도 있다.
특히 항공권 예약정보는 여행 일정과 이동 계획 등 다른 정보와 연결될 수 있다는 점에서도 주의가 필요하다. 개인정보가 노출된 이용자가 이후 의심스러운 문자나 이메일, 전화 등을 받는다면 단순한 광고나 안내로 여기지 말고 발신자와 내용을 꼼꼼히 확인해야 한다.
기업의 사고 대응 역시 중요하다. 개인정보가 외부에 노출됐다는 사실을 확인했다면 우선 추가 노출을 신속하게 차단하고, 어떤 정보가 누구에게 노출됐는지 파악해야 한다. 이후 피해 가능성이 있는 이용자에게 정확한 내용을 알리고 필요한 보호 조치를 제공해야 한다.
무엇보다 이용자가 가장 궁금해하는 것은 '내 정보가 정확히 무엇까지 노출됐느냐'는 부분이다. 단순히 개인정보 사고가 발생했다고 알리는 것만으로는 이용자의 불안을 해소하기 어렵다. 노출된 정보의 종류와 범위, 노출 기간, 현재까지 확인된 피해 여부 등을 구체적으로 설명하는 것이 중요하다.
이번 제주항공 사고에서도 향후 조사 결과에 따라 개인정보가 어떤 방식으로 검색엔진에 노출됐는지와 추가적인 피해 가능성이 있었는지가 핵심 쟁점이 될 것으로 보인다.
이용자 역시 개인정보 사고 통보를 받았다면 회사가 제공하는 안내를 확인하고 필요한 조치를 취해야 한다. 특히 개인정보를 빌미로 한 금전 요구나 출처가 불분명한 링크가 포함된 문자·이메일은 각별히 주의해야 한다.
제주항공 공식 인스타그램
최근에는 개인정보를 이용해 실제 기업이나 기관을 사칭하는 방식도 정교해지고 있다. 따라서 사고 이후 '여권을 재발급해야 한다'거나 '피해 확인을 위해 특정 링크에 접속해야 한다'는 등의 연락을 받더라도 즉시 응하지 말고 공식 고객센터 등을 통해 사실관계를 확인하는 것이 안전하다.
기업이 고객의 개인정보를 수집하는 것은 서비스 제공을 위해 불가피한 경우가 많다. 그러나 정보를 맡긴 이용자 입장에서는 기업이 이를 안전하게 관리할 것이라는 신뢰가 전제돼야 한다.
결국 개인정보 보호의 핵심은 사고가 발생한 뒤 얼마나 보상하느냐에만 있는 것이 아니다. 사고 자체를 예방하고, 문제가 발생했을 경우 피해 범위를 최소화하며, 이용자가 추가 피해를 입지 않도록 신속하고 투명하게 대응하는 것이 중요하다.
제주항공은 현재 사고 경위를 조사하면서 피해 고객에 대한 후속 조치를 진행하고 있다. 향후 조사에서 개인정보가 외부에 노출된 구체적인 원인이 확인될 경우 같은 문제가 반복되지 않도록 시스템과 관리 절차를 개선하는 것도 과제가 될 전망이다.
이번 사고를 계기로 항공업계를 비롯해 대규모 고객정보를 취급하는 기업들이 개인정보가 저장된 내부 시스템뿐 아니라 외부 웹페이지와 검색엔진 노출 가능성까지 전반적으로 점검해야 한다는 목소리도 커질 것으로 보인다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
