영국항공 고객 카드정보 유출 사태, ICO 2,000만 파운드 과징금(2018)

2018년 6월 22일 공격자는 항공 화물 업체 스위스포트 직원의 사용자명과 비밀번호를 이용해 영국항공(BA)의 원격 접속 환경에 들어왔다. 해당 계정에는 다단계 인증이 적용되지 않아 자격 증명만으로 접근이 가능했다. 영국 정보위원회(ICO)의 조사 결과를 정리한 자료에 따르면 공격자는 며칠 뒤인 6월 26일 데이터베이스 시스템 관리자 권한 자격 증명까지 확보했다. 보도에서는 시트릭스 원격 접속 게이트웨이의 취약점도 침입 경로로 언급됐다. 이후 침해는 두 달 이상 탐지되지 않은 채 이어졌다.

ICO는 2018년 7월 26일 공격자가 결제카드 정보가 담긴 텍스트 파일에 접근했다고 밝혔다. 이 파일은 BA가 테스트 목적으로 켜 둔 기능 때문에 2015년 12월부터 카드번호와 CVV까지 암호화 없이 기록해 온 것이었다. ICO는 이런 기록과 저장이 의도된 설계 기능이 아니었다고 지적했다. 관리자 계정 정보 역시 평문으로 저장돼 있었던 것으로 확인됐다. 이는 이후 과징금 산정에서 보안 조치 부실의 핵심 근거가 됐다.

공격자는 2018년 8월 중순 BA 웹사이트에 22줄 분량의 자바스크립트 코드를 심어 결제 페이지에 입력된 카드 정보를 공격자가 통제하는 'BAways' 도메인으로 보내도록 했다. 보안업체 RiskIQ는 이 수법이 신용카드 스키밍 조직 매직카트(Magecart)의 전형적 방식이라고 분석했다. 위키백과는 삽입 시점을 8월 14일부터 25일 사이로 정리하고 있어 정확한 개시일은 자료마다 약간 차이가 있다. 이용자는 정상적인 BA 결제 화면에서 카드를 입력했는데도 정보가 빠져나갔다. 이 유출은 9월 초 외부 제보가 있을 때까지 계속됐다.

2018년 9월 5일 외부 제3자가 BA에 데이터가 비정상적으로 전송되고 있다고 알렸다. BA는 경고를 받은 뒤 약 90분 안에 악성 코드를 제거했다. ICO는 BA가 스스로 침해를 알아챘을지 불분명하다고 지적했다. 침해 기간은 2018년 6월 22일부터 9월 5일까지 두 달 반가량이었다. 외부 제보가 없었다면 유출이 더 길어졌을 수 있다는 점이 문제로 남았다.

BA는 2018년 9월 6일 ICO와 영향을 받은 고객들에게 침해 사실을 알렸다. 위키백과는 통지 대상 고객을 49만 6,636명으로 정리하고 있다. 개인정보에 접근 가능했던 사람은 약 42만 9,612명이며 그중 약 24만 4,000명은 이름·주소·카드번호·유효기간·CVV가 모두 노출된 것으로 분석됐다. 약 10만 8,000명은 일부 카드 정보만 노출됐다. 언론 보도는 38만~40만 명 규모로 요약하는 경우가 많아 집계 기준에 따라 수치가 다르다.

ICO는 2019년 7월 8일 GDPR 위반을 이유로 BA에 1억 8,339만 파운드의 과징금을 부과할 계획이라고 발표했다. 당시 영국 정보보호 당국이 제시한 가장 큰 규모의 과징금 후보였다. 기준은 GDPR이 허용하는 매출 대비 상한 범위 안에서 정해졌다. BA는 이에 이의를 제기하겠다는 입장을 냈고 이후 절차에서 금액 조정을 요구했다. 이 통지는 GDPR 시행 이후 대형 항공사를 겨냥한 첫 대형 제재 예고로 주목받았다.

ICO는 2020년 10월 16일 조사를 마치고 BA에 2,000만 파운드 과징금을 부과했다. 초기 통지액 1억 8,339만 파운드의 약 11% 수준이다. ICO는 BA가 완화 조치를 취한 점과 코로나19로 인한 항공업계의 경제적 타격을 감안해 금액을 크게 낮췄다고 밝혔다. ICO는 다단계 인증 미적용, 평문 자격 증명 저장, 카드 정보 평문 기록 등을 보안 실패로 열거했고 BA가 스스로 침해를 탐지했을지 불분명하다고 지적했다. BA는 공격 이후 시스템 보안을 상당히 개선했고 조사에 전적으로 협조했다고 밝혔다.

BA는 2021년 7월 6일 2018년 정보 유출 피해자들이 제기한 집단소송을 법정 밖에서 합의했다. 원고로 참여한 피해자는 1만 6,000명이 넘었다. 합의 조건과 개별 보상금은 공개되지 않았다. 위키백과는 이 사건을 영국에서 개인정보 집단소송으로는 최대 규모로 설명한다. 이로써 행정 제재와 민사 배상이 모두 마무리됐다.