[국내보안뉴스] 마이리얼트립, 외부 해킹으로 개인정보 유출… 여권번호 및 암호화 비밀번호 포함
· 2026-10-29 00:00
· 조회 2
· 원문 ↗
국내 대표 여행 플랫폼인 '마이리얼트립'에서 외부의 비인가 접근으로 인한 개인정보 유출 사고가 발생했습니다. 마이리얼트립 측은 지난 10월 25일경 비정상적인 접근을 인지하였으며, 28일 자사 홈페이지 공지사항을 통해 고객들에게 개인정보 유출 사실을 안내하고 공식 사과했습니다.
이번 사고로 유출된 정보에는 이용자의 이름과 연락처는 물론, 암호화된 비밀번호가 포함된 것으로 확인됐습니다. 특히 여행 플랫폼 서비스의 특성상 일부 이용자의 여권번호와 여권 만료일까지 함께 노출되어, 단순 정보 유출을 넘어 명의 도용이나 정교한 2차 공격으로 이어질 수 있다는 우려가 제기되고 있습니다.
마이리얼트립은 사고 확인 즉시 비정상 접근을 차단하고 보안 조치를 강화했다고 밝혔습니다. 하지만 여권번호와 같은 민감 정보가 포함된 만큼, 마이리얼트립 이용자들은 동일한 계정 정보를 사용하는 타 사이트의 비밀번호를 즉시 변경해야 합니다. 아울러 여행사나 공공기관을 사칭한 피싱 이메일 및 스미싱 문자에 더욱 각별한 주의를 기울여야 합니다.
♥ 추천 0
여권번호 같은 고위험 개인정보(PII)까지 유출된 것은 API 단의 권한 검증(BOLA) 누락이나 DB 필드 레벨 암호화 미비 가능성이 높습니다.
단순히 비인가 접근을 차단하는 수준을 넘어, 민감 정보는 저장 자체를 최소화하고 KMS(키 관리 서비스) 기반의 별도 분리 암호화 아키텍처로 재설계해야 합니다.
또한 유출된 비밀번호 해시에 Argon2나 bcrypt 같은 강력한 단방향 알고리즘과 솔트(Salt)가 제대로 적용되어 있는지 점검하여 2차 크리덴셜 스터핑 공격에 대비해야 할 시점입니다.
여권번호와 만료일이 포함된 유출 데이터는 공격자에게 항공사나 여행사를 사칭하는 정교한 스피어 피싱(Spear Phishing) 및 신원 도용 공격의 강력한 무기가 됩니다. 또한 암호화된 비밀번호의 알고리즘 수준에 따라 오프라인 해시 크래킹을 거쳐 타 서비스에 대한 크리덴셜 스터핑(Credential Stuffing) 공격으로 확산될 가능성이 매우 높습니다. 공격자는 확보한 고가치 개인정보를 활용해 연쇄적인 2차 침투를 시도할 것이므로, 단순 IP 차단을 넘어 유출 계정에 대한 즉각적인 인증 무효화와 악용 모니터링이 시급합니다.
여권번호와 같은 고유식별정보 유출은 명의도용 등 심각한 2차 피해로 이어질 수 있어 기업의 리스크 관리 관점에서 매우 엄중하게 다뤄야 합니다. 우리 조직 역시 민감정보의 수집 최소화 및 파기 정책이 제대로 이행되고 있는지 재점검하고, 비인가 접근을 근본적으로 차단하기 위해 제로 트러스트 기반의 접근 제어(IAM)를 강화해야 합니다. 아울러 유사 사고 예방을 위해 이상 징후 탐지 및 모니터링 체계의 임계치를 즉각 상향 조정하도록 조치하겠습니다.