아시아나 이어 대한항공까지…임직원 이름·계좌번호 다 털렸다

기내식 업체 KC&D 해킹으로
임직원 계좌번호 등 3만건 털려
외주·협력사 ‘우회 침투’ 우려
우기홍 “협력사 보안 전면 재검토”

대한항공 항공기.

아시아나항공 사내망 해킹 여진이 가라앉기도 전에 모기업인 대한항공의 보안 울타리마저 뚫렸다. 대한항공 기내식 서비스를 담당하는 협력사가 해킹 공격을 받으면서 전·현직 임직원 계좌번호 등 3만건의 민감 정보가 외부로 유출된 것. 양대 국적항공사가 연이어 사이버 공격에 무너지면서 ‘메가 캐리어(거대 통합 항공사)’ 출범을 앞두고 정보 보안 체계 전반을 원점에서 재설계해야 한다는 지적이 나온다.

29일 항공업계에 따르면 대한항공씨앤디서비스(이하 KC&D)가 최근 외부 해킹 공격을 받아 서버에 저장돼 있던 대한항공 전·현직 임직원의 성명, 계좌번호 등 개인정보가 유출됐다. KC&D는 2020년 대한항공이 재무구조 개선을 위해 기내식 사업부를 한앤컴퍼니에 매각해 설립된 회사다. 분리 매각됐지만 대한항공 본사 데이터를 협력사에 이관해 보관한 점이 화근이었다.

이번 사건은 전형적인 ‘공급망 공격(Supply Chain Attack)’으로 분류된다. 대기업인 본사는 보안이 철저해 직접 뚫기 어렵지만, 상대적으로 보안 투자가 미흡한 협력사나 자회사는 해커들의 손쉬운 먹잇감이 된다.

해커들은 이 ‘약한 고리’를 통해 본사 내부망으로 침투하거나 중요 데이터를 빼낸다. 불과 며칠 전 발생한 아시아나항공 해킹 사태 역시 사내 인트라넷 ‘텔레피아’ 운영 및 유지보수를 맡은 외주 업체의 보안 취약점이 뚫린 것으로 업계는 보고 있다.

우기홍 대한항공 대표(부회장)는 이날 임직원들에게 보낸 긴급 공지를 통해 “비록 이번 사고가 분리 매각된 외부 협력업체의 관리 영역에서 발생한 것이라 할지라도, 당사 임직원 정보가 연루된 만큼 매우 엄중하게 인식하고 있다”며 “협력사에 대한 보안 관리 체계를 전면 재검토해 재발 방지에 만전을 기하겠다”고 밝혔다.

항공사를 타깃으로 한 공급망 공격은 이미 글로벌 트렌드다. 항공사는 예약 시스템, 마일리지, 기내식, 수하물 처리 등 수많은 외주 업체와 데이터를 실시간으로 주고받는 구조 탓에 방어해야 할 면적이 넓기 때문이다.실제로 2018년 영국 브리티시항공(BA)은 홈페이지와 모바일 앱의 결제 기능을 담당하는 외부 협력사 코드가 변조되면서 고객 38만명의 결제 정보가 유출되는 사고를 겪었다.

전문가들은 대한항공과 아시아나항공의 합병으로 방대한 고객 데이터와 시스템이 통합되는 만큼, 기존의 ‘성벽 방어’ 방식으로는 한계가 있다고 지적한다. 외부에서 내부로 들어오는 문만 지키는 경계형 보안 대신, ‘제로 트러스트(Zero Trust)’ 모델로의 전환이 시급하다는 것이다. 한번 로그인했다고 해서 무조건 신뢰하는 것이 아니라, 데이터에 접근할 때마다 신원을 재검증하고 권한을 최소한으로 부여해 피해 확산을 막는 방식이다.

항공업계 관계자는 “협력사의 보안 수준을 본사 수준으로 끌어올리도록 강제하는 제로 트러스트 체계를 구축하지 않으면 대규모 개인정보 유출 참사가 또 일어날 수 있다”고 말했다.