마이리얼트립 개인정보 유출 사고: 원인 분석과 대응 방안 (해외 사례 포함)

사고 개요

여행 플랫폼 마이리얼트립(MyRealTrip)에서 2026년 10월 25일 외부 무권한자의 비정상적 접근으로 개인정보가 유출된 사고가 발생했습니다. 마이리얼트립은 10월 29일 홈페이지를 통해 이 사실을 공식 발표했습니다.

유출된 정보

• 성명, 이메일, 휴대전화번호, 생년월일, 성별
• 암호화된 비밀번호
• 여권번호, 여권만료일 (일부 이용자만 해당)
• 결제 관련 데이터는 유출되지 않음
• 유출 규모는 아직 미확인

여권번호는 주민등록번호 등과 같이 고유식별정보로 분류되어 개인정보 중에서도 민감하게 취급됩니다. 유출된 여권번호는 신분 도용, 보이스피싱, 금융 범죄 등에 악용될 우려가 있습니다. 이용자마다 유출된 항목이 다르며, 마이리얼트립은 홈페이지에서 개인별 유출 여부와 항목을 확인할 수 있도록 안내하고 있습니다.

왜 이런 사고가 발생하는가? (근본 원인)

1. 고유식별정보의 수집·저장 필요성과 위험

여행 플랫폼은 항공권/비자 대행 서비스를 위해 여권번호를 수집·저장해야 합니다. 이는 법적·업무적 필수이지만, 여권번호는 고유식별정보로 분류되어 유출 시 심각한 2차 피해를 초래할 수 있습니다. 수집은 필요하지만, 보관·관리 체계가 미흡한 경우가 많습니다.

2. 외부 침입 경로의 다양화

• 자격 증명 탈취: 피싱, 브루트포스, 자격 증명 스터핑 등으로 관리자 계정 탈취
• 공급망 공격: 서드파티 서비스, API 연동, 클라우드 인프라를 통한 침입
• 제로데이 취약점: 패치되지 않은 시스템 취약점 악용
• 내부자 위협: 권한 남용 또는 실수

3. 개인정보 최소 수집 원칙 위반

필요 이상의 개인정보를 수집·장기 보관하는 관행이 문제입니다. 여권번호 등 고유식별정보는 암호화 저장이 의무이나, 암호화 키 관리가 미흡한 경우가 많습니다.

4. 보안 모니터링 및 탐지 체계 부족

침입 발생부터 탐지까지 걸리는 시간(MTTD)이 길어, 공격자가 충분히 데이터를 유출한 후에야 발견되는 경우가 많습니다.

5. AI 기반 공격의 증가

AI가 공격 작업을 자동화하여 기술 수준이 낮은 범죄자도 정교한 공격을 수행할 수 있게 되었습니다. 여행 플랫폼은 고가치 개인정보(여권번호, 연락처 등)를 보유하고 있어 공격 대상이 됩니다.

문제를 해결할 수 있는 방법

기술적 대응

대책	설명
암호화 강화	여권번호 등 고유식별정보는 AES-256 이상으로 암호화 저장, 키 관리는 HSM 사용
접근 제어	최소 권한 원칙, RBAC, MFA 적용, 관리자 계정 모니터링
네트워크 세그멘테이션	개인정보 DB를 별도 네트워크 세그먼트에 격리, 인터넷 노출 최소화
실시간 모니터링	SIEM/SOC 구축, 비정상 접근 패턴 탐지, UEBA 적용
데이터 마스킹/토큰화	운영 환경에서 민감 데이터를 마스킹 또는 토큰화하여 노출 최소화
제로 트러스트	모든 접근을 검증, 내부 네트워크도 신뢰하지 않는 보안 모델 적용

조직적 대응

대책	설명
최소 수집 원칙	서비스에 꼭 필요한 최소한의 개인정보만 수집
보관 기간 제한	목적 달성 후 즉시 파기, 여권번호는 예약 완료 후 일정 기간 내 삭제
정기 보안 점검	모의 해킹, 취약점 스캐닝, 코드 리뷰를 정기적으로 수행
사고 대응 계획	침해 사고 대응 절차(Incident Response Plan) 수립 및 훈련
직원 교육	피싱, 사회공학 공격에 대한 정기 교육
제3자 보안 평가	클라우드/서드파티 서비스에 대한 보안 심사

법적·제도적 대응

• 개인정보보호법 준수: 유출 시 72시간 이내 관계기관 신고, 이용자 통지
• ISMS-P 인증 취득 및 유지
• 개인정보 영향평가(PIA) 정기 수행
• 유출 사고 시 신속한 이용자 안내 및 피해 구제

이용자(개인) 대응

• 비밀번호 즉시 변경 (다른 서비스와 동일 비밀번호 사용 시 모두 변경)
• 의심스러운 문자/이메일의 링크 클릭 금지
• 여권 재발급 고려 (여권번호 유출 시)
• 신용카드/금융 거래 모니터링
• 명의도용 방지 서비스 가입 고려

해외 유사 사례

1. Eurail 데이터 유출 (2026년 1월)

규모: 308,777명의 여행자

유출 데이터: 여권번호, 성명, 주소, 생년월일, 은행 계좌(IBAN), 건강 정보, 연락처

발생: 2025년 12월 해킹, 2026년 1월 공개

후속: 유출 데이터가 다크웹에 판매, 피해자들에게 피싱·사기 위험 경고. 영국 정부는 여권 재발급 권고.

참고: Cybernews - Eurail data breach

2. Booking.com 데이터 유출 (2026년 4월)

규모: 수백만 고객 추정

유출 데이터: 예약 정보, 성명, 이메일, 전화번호, 예약 상세

악용: "예약 하이재킹(reservation hijacking)" — 사기꾼이 호텔 직원을 사칭하여 결제 정보 탈취. WhatsApp을 통한 스미싱 공격으로 이어짐.

참고: BBC - Booking.com customers warned of scams, Malwarebytes - Booking.com breach

3. Vietnam 여행자 데이터 유출 (2025년)

규모: 2억 2천만 여행자 기록

유출 데이터: 여권 정보, 여행 이력 등

특징: 대규모 데이터베이스 노출

참고: All About Cookies - Vietnam data leak

4. 호주 여행사 데이터 유출 (2025년)

규모: 수천 명의 고객

유출 데이터: 여권, 여행 상세 정보

참고: Webber Insurance - Australian data breaches

5. KLM/Air France 고객 데이터 유출 (2026년)

유출 데이터: 고객 개인정보

악용: 스미싱 공격으로 이어짐

참고: Constella - Booking.com breach analysis

해외 사례에서 배울 수 있는 교훈

1. 유출된 데이터의 2차 피해 (스미싱/피싱)

Booking.com 사례에서 보듯, 유출된 예약 정보가 정교한 스미싱 공격에 활용됩니다. 마이리얼트립도 동일한 위험에 노출되어 있습니다.

2. 다크웹 판매

Eurail 사례에서 유출 데이터가 다크웹에 판매되었습니다. 고유식별정보(여권번호)는 장기적으로 신분 도용에 활용될 수 있습니다.

3. 신속한 대응의 중요성

• Eurail은 308,777명에게 통지
• Booking.com은 고객에게 스캠 경고 발송
• 마이리얼트립도 즉시 비정상 접근 차단 및 시스템 점검 실시

4. 여권 재발급

영국 정부는 Eurail 유출 피해자에게 여권 재발급을 권고했습니다. 여권번호 유출 시 재발급이 가장 확실한 대응입니다.

결론

마이리얼트립 사고는 고유식별정보(여권번호)를 보유하는 여행 플랫폼의 보안 취약성을 드러냈습니다. 해외 사례(Eurail, Booking.com 등)와 비교하면, 유출된 데이터가 스미싱/피싱/신분 도용에 악용되는 2차 피해가 더 큰 문제입니다.

핵심 대응 원칙

1. 최소 수집·최소 보관: 여권번호는 예약 완료 후 즉시 삭제 또는 토큰화
2. 강력한 암호화: 고유식별정보는 반드시 암호화 + 키 분리 관리
3. 실시간 탐지: 침입 탐지 시스템(IDS/IPS) + SIEM + UEBA
4. 신속한 대응: 72시간 이내 이용자 통지 + 관계기관 신고
5. 이용자 보호: 비밀번호 변경, 여권 재발급 안내, 스미싱 경고

이러한 사고는 AI 시대에 더욱 정교해진 공격 기법과 맞물려 증가할 것으로 예상됩니다. 여행 플랫폼뿐만 아니라 개인정보를 다루는 모든 서비스 제공자는 사전 예방적 보안 체계를 구축해야 합니다.

원문: 보안뉴스 - 마이리얼트립, 유출사고…'고유식별정보' 여권번호도 유출