일본 호텔 체크인 시스템, 백만 개의 여권과 운전면허증이 누구나 볼 수 있도록 유출됨
호텔 체크인 시스템의 보안 허점으로 고객 여권, 운전면허증, 셀피 본인확인 사진 100만 건 이상이 인터넷에 노출됨.
TechCrunch가 해당 회사에 알린 뒤 현재 데이터는 내려간 상태.
문제의 호텔 체크인 시스템은 Tabiq이며, 일본 스타트업 Reqrea가 관리함.
회사 웹사이트 기준으로 일본 여러 호텔에서 사용 중.
얼굴 인식과 문서 스캔으로 투숙객 체크인을 처리.
독립 보안 연구자 Anurag Sen이 이번 주 초 이 시스템이 전 세계 호텔 이용객의 민감한 신분증 문서를 유출 중이라는 사실을 발견하고 TechCrunch에 제보함.
원인은 스타트업이 체크인 시스템 고객 데이터를 저장하는 Amazon 클라우드 스토리지 버킷 하나를 공개 상태로 둔 것.
버킷 이름
tabiq만 알면 비밀번호 없이 웹브라우저로 내부 데이터 열람 가능.
Sen은 회사에 이 사실을 알리기 위해 TechCrunch에 연락함.
TechCrunch가 Reqrea와 일본의 사이버보안 조정기관 JPCERT에 연락한 뒤 Reqrea가 버킷 접근을 막음.
기업들이 정교한 공격보다 기본 보안 수칙 미준수 탓에 고객 개인정보와 민감 문서를 반복 노출하는 고질적 문제가 이번에도 드러남.
최근엔 AI가 찾아낸 취약점 화제와 새로운 보안 기능 논의가 주목받았지만,
큰 보안 사고 상당수는 여전히 사람 실수, 설정 오류, 기본 보안 모범사례 미준수에서 시작됨.
Reqrea 이사 Masataka Hashimoto는 노출 사실을 인정한 이메일에서 이렇게 적음.
"전체 노출 범위를 파악하기 위해 외부 법률 고문과 다른 자문진 지원을 받아 철저한 검토를 진행 중이다."
Reqrea는 스토리지 버킷이 어떻게 공개 상태가 됐는지 아직 모름.
Amazon 클라우드 스토리지 버킷은 기본값이 비공개.
몇 년 전 공개 버킷 사고가 잇따른 뒤 Amazon은 데이터를 공개로 바꾸기 전에 여러 차례 경고를 띄우도록 했고, 그래서 이런 실수는 우발적으로 내기 점점 어려워짐.
Hashimoto는 조사 완료 뒤 영향받은 당사자들에게 통지할 계획.
버킷이 잠기기 전 Sen 외에 다른 누가 이 데이터에 접근했는지는 아직 불분명함.
Hashimoto는 버킷을 보호하기 전 어떤 접근 기록이 있었는지 확인하려고 로그를 검토 중.
노출된 버킷 정보는 공개 클라우드 스토리지를 색인하는 검색형 데이터베이스 GrayHatWarfare에도 포착됨.
버킷 목록에는 2020년 초부터 이번 달까지 이어지는 파일이 포함됐고,
전 세계 여러 국가 방문객의 신분증 문서도 들어 있음.
이번 호텔 체크인 시스템 사고는 정부 발급 신분증이 얽힌 다른 사고들에 이어 나온 사례.
TechCrunch는 올해 초 송금 서비스 Duc App 고객이 업로드한 운전면허증, 여권, 기타 신분증 문서 노출 사고를 보도함.
작년 Hertz 데이터 유출에선 해커가 최소 10만 명 고객의 운전면허 정보까지 빼감.
이런 사고는 각국 정부가 연령 확인 법을 확대하고, 민간 기업이
know your customer확인 절차로 개인 신원을 검증하는 시점과 겹침.두 흐름 모두 성인 이용자에게 민감한 문서를 업로드하게 만들고, 그 검증을 제3자 회사에 맡기는 경우가 많음.
사이버보안 전문가들의 비판에도 이런 방식은 계속 확산 중.
연령 확인 요건이 전 세계로 퍼지는 상황에서, 이런 데이터 유출은 피해자에게 신원 도용과 얼굴 이미지 악용 위험을 더 키움.
