항공사 홈피 앞에 'gw' 붙이니 인트라넷으로…뻥 뚫린 항공사 보안

티웨이·이스타 등 접근 가능
외부인도 로그인 페이지로

아시아나 인트라넷도 해킹
대한항공서 개인정보 유출

전세계 해커 '먹잇감' 우려
FBI "항공생태계 모두 위험"

국내 일부 저가항공사(LCC)의 사내 인트라넷 홈페이지까지 일반인이 손쉽게 접근 가능한 것으로 확인됐다. 유출된 개인정보와 결합해 직원용 홈페이지에 로그인을 시도할 수 있다는 점에서 해킹 위험이 크다. 최근 아시아나항공 인트라넷 해킹 사건에도 불구하고 항공업계 대응 노력이 미흡한 것이 아니냐는 지적이 나온다. 국내 최대 항공사인 대한항공까지 협력업체 해킹 피해로 안심할 수 없는 상황이다.

아시아경제가 29일 주요 항공사 공식 홈페이지 주소 앞에 'gw(그룹웨어 약자)'를 넣어보니 티웨이항공과 이스타항공은 사내 인트라넷 홈페이지까지 접속할 수 있었다. 두 사이트는 각각 '티웨이 투 유럽'과 '여행, 쉬워지다'라는 회사 슬로건과 함께 로그인 창이 표시됐다. 아이디(ID)와 비밀번호가 없어 실제 로그인까지 이어지진 않았다. 하지만 임의의 아이디·비밀번호로 10회 이상 로그인 시도에 실패해도 일정 시간 로그인을 제한하거나 인터넷 프로토콜(IP)을 차단하는 장치는 없었다.

전문가들은 외부인이 사내 인트라넷에 쉽게 접근할 수 있는 것 자체가 문제라고 지적한다. 익명을 요구한 15년 경력의 개인정보보호 담당자는 "일반적으로 해킹에 대비하기 위해 업무시스템 주소를 외부인이 유추할 수 없도록 구성하고 있다"며 "편의상 'gw'를 붙여 사내 인트라넷을 만들고 공격표면(외부 공격자가 노릴 수 있는 취약점) 관리에 소홀한 등 저조한 보안의식 문제"라고 했다.

티웨이항공 사내 인트라넷 홈페이지

이스타항공 사내 인트라넷 홈페이지

인트라넷 주소가 노출될 경우 소위 '크리덴셜 스터핑' 공격에 당할 수 있다는 게 전문가들의 견해다. 다른 사이트에서 유출된 로그인 정보를 공격 사이트에 무작위 대입하는 해킹 방식을 말한다. 이미 해킹을 통해 개인정보가 유출된 만큼 인트라넷에 로그인할 수 있는 확률도 그만큼 커진다는 얘기다. 항공사의 경우 이름과 연락처, 주민등록번호 같은 일반적인 개인정보부터 여권번호, 의료정보, 출입국 기록 같은 민감한 정보까지 다루는 만큼 전 세계 해커들의 '단골 먹잇감'이 되고 있다.

황석진 동국대 국제정보보호대학원 교수는 "아이디와 비밀번호를 여러 사이트에서 동일하게 쓰는 경우가 많기 때문에 보안 수준이 낮은 사이트에서 이미 로그인 정보가 유출된 경우 사내 인트라넷까지 해킹당할 위험이 있다"며 "항공사의 경우 사내 인트라넷에 고객 정보를 비롯한 다양한 데이터가 올라올 수 있어서 해커들이 타깃으로 삼을 가능성이 크다"고 했다.

이스타항공은 인트라넷 홈페이지 접속과 관련해 "그룹웨어 로그인 시 개인별 접속기록을 확인해 비정상 접근 발생 시 빠르게 대응할 수 있는 체계로 운영하고 있다"고 설명했다.

항공사 개인정보 유출은 현재진행형이다. 아시아나항공의 사내 인트라넷 해킹으로 임직원과 콜센터 등 협력사 직원 1만여명의 개인정보가 유출된 데 이어 대한항공 기내식 협력업체 케이씨앤디(KC&D)서비스가 29일 해킹을 당한 것으로 알려지면서 대한항공 임직원의 개인정보 3만여건도 유출됐다.

해외에서도 항공사 해킹 피해는 상당하다. 지난 6월 캐나다 항공사 웨스트젯은 내부 시스템 침해로 홈페이지와 애플리케이션 서비스가 중단됐고, 같은 달 미국 하와이안항공에서도 해킹으로 일부 IT 시스템에 장애가 발생했다. 7월에는 호주 콴타스항공 해킹으로 승객 600만명의 이름과 이메일, 전화번호, 생년월일, 마일리지 적립번호 등이 노출됐으며 8월에는 에어프랑스-KLM그룹에서, 10월에는 베트남항공에서 개인정보 유출 사건이 터졌다.

올 들어 항공사를 향한 해킹 공격이 잇따르자 미 연방수사국(FBI)은 지난 6월 공식 엑스(X·옛 트위터) 계정에서 "해커는 항공사와 IT 서비스 제공업체를 표적으로 삼는데 공급업체나 협력업체를 포함한 항공사 생태계의 모두가 위험에 처할 수 있다"고 경고했다.

전영주 기자 ange@asiae.co.kr