대한항공, 1100만명 고객 정보 털릴 뻔한 사연

대한항공의 A380 사진

[아시아경제 황준호 기자, 권용민 기자] 지난달 중순 대한항공 홈페이지에 '대한항공 홈페이지가 아주 간단한 몇 가지 작업을 통해 해킹당할 수 있다'는 20대 해커 A와 B씨의 제보가 올라왔다. 아울러 이들은 해킹과정을 소개했다.

먼저 이들은 대한항공 홈페이지에서 웹사이트를 이용하는 사용자의 정보를 임시로 담아두는 쿠키 값을 탈취했다. 또 이를 조회할 수 있게 자체 프로그램(사이트)을 제작했다. 대한항공 회원이 홈페이지에서 아이디를 치면 그의 개인정보를 자체 사이트에서 고스란히 불러올 수 있었다.

간단한 작업으로 대한항공 홈페이지에 가입한 전 세계 1100만명의 개인정보를 취득할 수 있는 것이다. 대한항공이 확보하고 있는 개인정보는 이름, 주민등록번호, 주소, 아이핀 정보(CI), 여권정보(번호, 유효기간, 발급국가), 마일리지 등이다.

A씨 등은 화이트 해커로, 대한항공 홈페이지의 보안 취약성을 회사측에 알렸다.

화이트 해커는 순수하게 학업을 목적으로 해킹을 하는 사람으로, 정보보안 전문가라고도 한다. 이는 개인적인 목적을 노려 악의적으로 해킹하는 '블랙해커(Black Hacker)'와 구분된다.

A씨 등이 화이트 해커였지 망정이지, 블랙해커였다면 전 세계 1100만명의 개인정보가 털릴 수 있는 상황이었다.

보안업계 관계자는 "아주 간단하고 흔한 우회시도로, 취약점을 발견할 수 있었던 것으로 알고 있다"며 "만약 공격자가 악의적인 스크립트를 등록하거나 바이러스를 배포했다면 2~3차 피해도 가능했던 상황"이라고 말했다.

대한항공은 즉각적인 확인을 통해 이들의 의견이 사실임을 확인했다. 이어 밤샘 보완작업 끝에 이달초 보안시스템 업그레이드를 마쳤다.

특히 대한항공은 이달 8일 A씨, B씨와 함께 KISA(한국인터넷진흥원) 관계자를 초청해 홈페이지 보안 관련 설명회를 갖는 등 후속조치도 실시했다.

대한항공 관계자는 "홈페이지를 해킹당한 것은 아니고, 고객이 지적한 보안 문제를 귀담아 듣고 해결한 사례"라며 "개인정보 유출은 없었다"고 말했다.

이어 "한국인터넷진흥원 등 제도권뿐만 아니라, 비제도권 보안전문가의 의견도 적극적으로 수용할 예정"이라고 덧붙였다.

보안업계 관계자는 "대한항공 외에도 많은 기업들이 IT기업이 아니다보니 외주업체에 보안을 넘기는 등 보안이 취약한 경우가 많다"며 "해커들은 점차 발전해 가는데 기업들은 이를 쫓아오지 못하는 형국"이라고 지적했다.

황준호 기자 rephwang@asiae.co.kr
권용민 기자 festym@asiae.co.kr