일본 체크인 시스템 타비크에서 투숙객들의 개인정보가 외부에 노출된 사실이 알려졌다. [사진: 셔터스톡]
[디지털투데이 AI리포터] 일본 호텔 체크인 시스템 '타비크'(Tabiq)에서 고객 여권과 운전면허증, 셀피 인증 사진 등 100만건 이상의 민감한 개인정보가 외부에 공개된 상태로 노출된 사실이 확인됐다.
15일(현지시간) IT 전문매체 테크크런치에, 따르면 운영사 리크레아(Reqrea)는 보안 연구원의 통보를 받은 뒤 문제의 저장소를 비공개로 전환했다.
타비크는 일본 스타트업 리크레아가 운영하는 호텔 체크인 시스템으로, 얼굴인식과 신분증 스캔을 통해 투숙객 본인확인을 진행한다. 현재 일본 내 여러 호텔에서 사용되고 있다. 이번에 노출된 정보에는 전 세계 이용객의 여권, 운전면허증, 셀피 인증 사진 등이 포함된 것으로 전해졌다.
이번 문제는 아누라그 센(Anurag Sen) 독립 보안 연구원이 발견했다. 아누라그 센은 타비크가 고객 데이터를 저장하던 아마존 클라우드 저장소 버킷 1개를 공개 상태로 설정해 둔 사실을 확인했다. 해당 저장소는 비밀번호 없이 웹브라우저에서 접근할 수 있었으며, 버킷 이름인 타비크만 알면 내부 파일 열람도 가능했던 것으로 알려졌다.
리크레아는 현재 정확한 노출 범위를 조사하고 있다. 마사타카 하시모토(Masataka Hashimoto) 리크레아 이사는 이메일을 통해 "외부 법률 고문과 자문단의 지원을 받아 전체 노출 범위를 철저히 조사하고 있다"라고 밝혔다. 이어 조사 결과가 나오는 대로 영향을 받은 이용자들에게 개별 통지할 계획이라고 설명했다.
다만 실제로 몇 명이 해당 정보에 접근했는지는 아직 확인되지 않았다. 마사타카 하시모토는 저장소 차단 이전에 승인되지 않은 접근이 있었는지 확인하기 위해 로그를 검토 중이라고 밝혔다. 저장소가 공개 상태로 설정된 경위 역시 아직 파악되지 않은 상태다.
이번 사고는 정교한 해킹보다 기본적인 보안 설정 실수가 더 큰 개인정보 유출로 이어질 수 있다는 점을 다시 보여준다. 아마존의 클라우드 저장소 버킷은 기본적으로 비공개 상태로 운영된다. 아마존은 과거 유사 사례가 반복되자 저장소를 공개로 전환할 때 여러 차례 경고 절차를 추가해 왔지만, 이번에는 민감한 신분증 문서가 장기간 외부에 노출된 것으로 나타났다.
공개 저장소 검색 데이터베이스인 그레이햇워페어(GrayHatWarfare)에도 해당 버킷 정보가 포착됐다. 저장된 파일은 2020년 초부터 이달까지 이어졌으며, 여러 국가 방문객의 신원 확인 문서가 포함된 것으로 전해졌다. 이에 따라 정보 노출이 상당 기간 이어졌을 가능성도 제기된다.
이번 사건은 신분증 기반 본인확인 시스템 전반의 보안 위험성도 다시 부각했다. 각국 정부와 민간 기업들은 연령 확인과 고객확인 제도 강화를 위해 제3자 업체를 통한 신원 인증 절차를 확대하고 있다. 이 과정에서 이용자들은 여권이나 운전면허증 같은 민감한 개인정보를 업로드해야 한다. 전문가들은 이런 정보가 유출될 경우 신분 도용이나 얼굴 이미지 악용 등 2차 피해로 이어질 수 있다고 우려한다.
실제로 올해에도 유사 사례가 잇따르고 있다. 송금 서비스 듀크 앱 이용자들이 업로드한 여권과 운전면허증 등 신분증 문서가 외부에 노출된 사례가 있었으며, 지난해에는 렌터카 업체 허츠(Hertz)의 데이터 침해 사고로 최소 10만명의 고객 운전면허 정보가 유출됐다. 이에 따라 호텔 체크인과 같은 일상적인 인증 절차에 사용되는 외부 시스템의 보안 관리 중요성도 더욱 커지고 있다.
AI리포터
댓글
0