[2018.10.26] 홍콩 항공사 캐세이퍼시픽 데이터 유출 사고

<사건경위>

피해규모 : 940만명 개인정보 유출. 유출정보는 개개인마다 다양함.

유출시점 : 지난 3월에 비인가자가 시스템에 접근한 것을 최초 발견, 5월에 고객 정보 유출을 확인

유출항목 : 여권상 이름, 국적, 생년월일, 휴대전화번호, 이메일 주소, 집주소, 여권번호, 신분증 번호, 항공사 멤버십 번호, 고객센터 메모, 여행 기록 정보, 86만명의 여권 번호, 24만5천명의 홍콩 신분증 번호, 403건의 만료된 신용카드 번호, 27개의 인증번호가 없는 신용카드 번호 유출

캐세이퍼시픽 측 입장 : 비밀번호는 유출되지 않았고 유출된 개인정보가 악용된 바가 없다고 밝힘

데이터 유출이 일어난 시스템은 비행 조정 시스템과 다른 것으로 비행 안전에는 어떠한 영향도 끼치지 않는다고 주장

데이터 유출의 피해자는 캐세이퍼시픽이 개별 연락을 취했으며, 정보 유출의 피해자라고 의심하는 사람은 infosecurity@cathaypacific.com 연락하길 권고

데이터 유출 사건과 관련한 조치사항 등은 www.infosecurity.cathaypacific.com 에서 확인 가능

<논란>

유출 건에 대해 통보를 하기 전 정확한 사건 경위를 파악하고 '불필요한 공포조장'을 막기 위해서 언론에 알리지 않았다고 하나, 

사건을 늦게 알리면서 피해자들은 약 5개월간 대처할 시간을 놓쳤다는 비난을 받고 있음. 유럽의 GDPR에 따르면 유출 사고가 있을 시 72시간안에 고지해야 함.

지난 9월있었던 British Airline은 데이터 유출 피해고객에게 금전적 보상을 약속했지만, 캐세이퍼시픽은 경제적 보상에 대한 아무런 말이 없는 것도 논란의 여지.

<영향성>

경영난: 데이터유출 사고가 기사화 되며 주가는 9년만의 6%이상 하락. 유출 이전에도 중국의 저가 항공사, 중동 항공사와의 경쟁으로 인해 매출의 저조한 상태로 지난 3월에는 연례 적자를 기록 경영진의 1/4을 포함해 600명의 인원 감축을 예고함

출처 : https://www.darkreading.com/vulnerabilities---threats/cathay-pacific-suffers-largest-airline-breach/d/d-id/1333128 

        https://www.securityweek.com/questions-mount-over-delay-after-cathay-pacific-admits-huge-data-leak