하나투어 100만 건 고객정보 유출 사건

2017년 9월 국내 1위 여행사 하나투어의 전산 시스템이 외부 해킹 공격을 받아 고객 개인정보가 대량으로 빠져나간 것으로 뒤늦게 확인됐다. 유출 규모는 약 100만 건에 달하는 것으로 파악됐으며, 예약 과정에서 입력된 이름과 연락처 등 개인정보가 포함된 것으로 알려졌다. 여행사는 고객의 여권정보, 결제정보 등 민감한 데이터를 대량으로 보유하고 있어 유출 시 2차 피해 우려가 크다는 지적이 나왔다. 사건 초기에는 피해 규모와 유출 경로가 명확히 공개되지 않아 혼란이 있었다. 업계에서는 성수기 예약이 몰리는 여행사 시스템의 보안 투자 부족이 근본 원인으로 지목됐다.

2017년 10월 18일 조선비즈 등 언론 보도를 통해 하나투어의 개인정보 유출 규모가 약 100만 건에 이른다는 사실이 외부에 알려졌다. 사건 발생 시점과 공개 시점 사이에 시차가 있었다는 점에서 하나투어의 초기 대응과 고지 지연에 대한 비판이 제기됐다. 보도 이후 하나투어 이용 고객들 사이에서는 자신의 정보가 유출됐는지 확인하려는 문의가 이어졌다. 여행업계 전반에 개인정보 관리 체계에 대한 경각심이 확산되는 계기가 됐다. 관련 보도는 이후 국정감사 등에서도 인용되며 재발방지 대책 마련을 촉구하는 근거로 활용됐다.

하나투어는 언론 보도 이후 자체 조사를 거쳐 고객정보 유출 사실을 공식 확인하고 홈페이지 공지 등을 통해 피해 고객에게 안내했다. 회사는 결제 관련 금융정보는 별도로 암호화돼 보관돼 있어 직접적인 금전 피해 가능성은 낮다는 입장을 밝혔다. 그러나 유출된 개인정보가 보이스피싱이나 스미싱 등 2차 범죄에 악용될 수 있다는 우려는 해소되지 않았다. 하나투어는 고객센터를 통한 문의 대응 체계를 강화하고 피해 신고 절차를 안내했다. 일부 고객은 정신적 피해를 이유로 손해배상을 요구하는 목소리도 냈다.

방송통신위원회와 한국인터넷진흥원(KISA)은 하나투어의 개인정보 유출 경위와 보안 관리 실태에 대한 조사에 착수했다. 조사는 하나투어가 개인정보보호 관련 법령상 안전조치 의무를 제대로 이행했는지를 중점적으로 들여다보는 방식으로 진행됐다. 여행업은 특성상 여권번호 등 고도로 민감한 개인정보를 대량으로 취급하기 때문에 보안 기준 준수 여부가 특히 중요하게 다뤄졌다. 조사 결과에 따라 과징금이나 시정명령 등 행정처분이 뒤따를 가능성이 제기됐다. 하나투어는 조사에 성실히 협조하겠다는 입장을 밝혔다.

하나투어는 사고 재발을 막기 위해 전산 시스템 보안을 전면 점검하고 침입탐지시스템과 암호화 기술을 강화하는 재발방지 대책을 마련했다고 밝혔다. 회사는 개인정보 처리 위탁업체에 대한 관리·감독도 함께 강화하겠다고 덧붙였다. 이번 사건은 여행업계 전반에 개인정보보호 투자 확대 필요성을 각인시킨 사례로 남았다. 이후 다른 여행사들도 잇따라 보안 점검에 나서는 등 업계 전반의 경각심이 높아졌다. 하나투어는 고객 신뢰 회복을 위해 정보보호 관리체계(ISMS) 인증 등 대외 검증 절차도 추진했다.