공항 예약·와이파이 데이터 870만 건 노출이 보여준 서비스 보안 경계

오늘의 핵심

맨체스터공항그룹의 예약·공항 와이파이 이용자 정보가 대규모로 유출됐다. 결제정보가 없어도 연락처와 차량번호를 결합한 정교한 피싱이 가능해, 국내 서비스 운영자도 수집 범위와 보관기간, 시스템 분리를 재점검해야 한다.

확인된 사실

• Manchester Airports Group은 무단 제3자가 3개 공항의 주차·라운지·패스트트랙 예약과 공항 와이파이 가입 관련 고객 데이터를 확보했다고 발표했다. 근거 [1] [2]
• 영향 범위는 현재 약 870만 명으로 추정되며, 대다수는 공용 와이파이 가입 과정에서 수집된 이메일 주소가 노출된 사례다. 근거 [2] [3]
• 노출 정보에는 이메일 주소, 전화번호, 차량 등록번호와 우편번호가 포함됐지만 은행·결제정보는 해당 시스템에 저장되지 않았다. 근거 [1] [2] [3]
• 사고로 공항 운영과 항공 보안이 중단되지는 않았지만, MAG는 예방 차원에서 온라인 예약 관리 서비스 접근을 일시 제한했다. 근거 [1] [2]
• 연락처와 공항 이용 맥락이 결합된 데이터는 가짜 주차 결제, 환불 또는 예약 안내처럼 신뢰도 높은 피싱에 악용될 수 있다. 근거 [2] [3]

왜 중요한가

• 무료 와이파이 가입이나 예약 문의처럼 보조 기능에서 수집한 정보도 여러 서비스와 결합되면 대규모 침해 범위가 될 수 있다.
• 결제정보가 없다는 사실만으로 피해가 작다고 판단하기 어렵다. 연락처·차량번호·이용 맥락은 고객 맞춤형 피싱의 신뢰도를 높인다.
• 핵심 운영이 정상이어도 고객 포털을 중단하고 통지·상담을 수행해야 하므로 보안사고는 즉시 서비스 운영 비용과 신뢰 문제로 이어진다.

inxight의 관점

• 서비스 보안 경계는 결제와 회원 계정뿐 아니라 무료 와이파이, 사전 문의, 예약 부가상품 등 모든 데이터 수집 접점을 포함해야 한다.
• 웹·앱 운영자는 사고 대응 목표를 서비스 가용성 유지에만 두지 말고, 침해된 한 시스템에서 접근 가능한 데이터의 양을 제한하는 구조까지 설계해야 한다.
• 개인정보 최소수집은 규정 준수를 넘어 침해 발생 시 피싱 소재와 통지 대상을 줄이는 제품 설계 원칙이다.

실무 체크리스트

• 와이파이 가입, 미완료 예약, 상담·이벤트 폼 등 비핵심 접점별 수집 항목과 실제 보관기간을 목록화하고 불필요한 기록을 삭제한다.
• 예약·CRM·마케팅·와이파이 데이터 저장소의 계정 권한과 서비스 간 연결을 점검하고 최소권한 및 네트워크·데이터 분리를 적용한다.
• 차량번호·우편번호처럼 피싱의 구체성을 높이는 정보에 별도 접근통제, 조회 로그와 이상 대량조회 경보를 설정한다.
• 침해 통지문과 고객센터 스크립트에 공식 확인 경로, 링크 클릭 금지, 비밀번호 재사용 시 변경 안내를 포함한 피싱 대응 템플릿을 준비한다.