Booking.com, 비싱 공격으로 벌금 부과

2021년 4월 13일 | 블로그

요약 메시지: 침해 발생 중에 침해 알림을 작성하는 것은 재앙으로 이어질 수 있습니다.

2018년 12월, Booking.com은 비싱 공격 으로 인해 데이터 유출 사고를 겪었습니다 . 비싱이란, 신뢰할 수 있는 기업을 사칭하여 전화나 음성 메시지를 통해 사용자의 은행 정보, 신용카드 번호, 기타 비공개 개인 정보를 빼내는 해킹 수법입니다 . 이는 피싱 이나 스미싱 과 유사 하지만, 이메일이나 문자 메시지 대신 전화 시스템과 음성 메시지를 이용한다는 점이 다릅니다. 이 사건이 중요한 이유는 데이터 유출 자체보다는 네덜란드 데이터 보호 당국(DPA)이 부과한 벌금 때문입니다. 벌금이 부과된 이유에 대해 자세히 알아보겠습니다.

어떻게이 일이 일어 났어요?

보고서에 따르면, 이번 공격은 아랍에미리트(UAE)의 호텔들을 대상으로 전화 사회공학적 수법을 이용해 이루어졌습니다. 해커들은 해당 지역의 40개 호텔 직원들에게 전화를 걸어 Booking.com 시스템의 호텔 계정 로그인 정보를 빼냈습니다.

'비셔'는 이렇게 도난당한 신원 정보를 이용해 고객 이름, 주소, 전화번호를 포함한 4109건의 고객 예약 데이터를 탈취했습니다. 또한, 이 중 283건의 신용카드 데이터도 탈취했습니다. 해커들은 심지어 어떤 전자 시스템에도 저장되어서는 안 되는 CVV(카드 뒷면의 3자리 코드) 97개까지 훔쳐냈습니다!

네덜란드 데이터 보호 기관(DPA) 부의장인 모니크 베르디에(Monique Verdier)는 해당 기관의 침해 보고서에서 다음과 같이 지적했습니다.

이메일이나 전화로 호텔 직원인 척하며 사람들에게서 돈을 훔치려 했습니다. 사기꾼이 예약 시점과 객실을 정확히 알고 해당 숙박 요금을 지불하라고 요구한다면, 이러한 수법은 매우 신빙성 있어 보일 수 있습니다. 이러한 수법으로 막대한 돈을 훔칠 수 있습니다.

이 글에서 지금까지 논의된 내용은 대부분의 침해가 발생하는 방식을 설명합니다. 침해를 당한 기업 중 정부로부터 추가 벌금을 받는 기업은 거의 없는데, 그렇다면 여기서는 무슨 일이 벌어진 것일까요?

침해는 2018년에 발생했습니다.

네덜란드 데이터보호청(DPA)은 Booking.com에 약 50만 유로의 벌금을 부과했는데 , 이는 데이터 유출 때문이 아니라 회사가 유출 사실을 충분히 빨리 보고하지 않았기 때문입니다.

네덜란드 데이터 보호 당국(DPA)은 Booking.com이 데이터 유출 사고를 DPA에 신고하는 데 너무 오랜 시간이 걸렸다는 이유로 47만 5천 유로의 벌금을 부과했습니다. 유출 사고 발생 당시 범죄자들은 4천 명이 넘는 고객의 개인 정보를 유출했고, 약 300명의 신용카드 정보도 손에 넣었습니다.

연혁

12월 2018 : 데이터 침해가 시작되었습니다
13 1 월 2019 : Booking.com에서는 이 유출 사실을 알게 되었습니다.
04 2 월 2019 : Booking.com은 영향을 받은 고객에게 해당 사실을 알렸습니다.
07 2 월 2019 : Booking.com은 데이터 보호 기관에 이를 알렸습니다.

EU 기업은 침해 발생을 확인한 날로부터 72시간 이내에 보고해야 합니다. Booking.com은 1월 13일에 정보 유출 사실을 알고 있었지만, 정부에 신고해야 할 침해 규모를 알지 못했을 가능성이 있습니다. 그러나 Booking.com이 500개 이상의 기록에 영향을 미친 침해 사실을 확인한 1월 당시에는 72시간 이내에 정보보호청(DPA)에 신고해야 했습니다. 하지만 이를 이행하지 않아 막대한 벌금이 부과된 것입니다.

이것이 내 중소기업에 어떤 의미가 있나요?

침해 알림

침해 신고와 관련하여, 영향을 받는 사용자와 네덜란드 정보보호청(DPA)과 같은 관련 기관에 신속하게 알리는 것이 매우 중요합니다. 2002년 이후 전 세계적으로 수많은 데이터 개인정보 보호법이 제정되었습니다. 미국은 각 주별로 다양한 데이터 개인정보 보호법을 시행하고 있지만, 연방법은 시행되고 있지 않습니다. 국제적으로 사업을 하는 경우, 침해 신고 절차를 준비할 때 다음 규정을 고려해야 합니다.

CyberHoot 추천

CyberHoot에서는 귀사에 적용되는 법률을 숙지하고 해당 법률을 반영한 침해 신고 절차 문서를 준비할 것을 권장합니다. 또한, 매년 절차를 테스트하는 것도 잊지 마세요.

침해 신고 절차를 구축하는 것 외에도, 기업은 침해 위험을 줄이기 위해 취할 수 있는 여러 가지 조치가 있습니다. CyberHoot은 다음과 같은 기본적인 침해 대응책을 권장합니다.

직원에게 발견 및 피하는 방법에 대한 교육 및 테스트 피싱, 스 미싱예산 및 바이 싱 공격;
회사의 사이버 보안 요구 사항을 확립하는 일련의 사이버 보안 정책으로 직원을 관리합니다.
고용 최소 권한 원칙 사용자 데스크톱과 노트북에서 관리자 권한을 빼앗음으로써;
직원의 비밀번호 위생을 개선하기 위해 비밀번호 관리자를 도입하세요.
모든 중요 계정(이메일, 은행 등)에 대해 2단계 인증을 활성화합니다.
중요한 요청(정보 요청, 예약 변경, 신용카드 결제 등)을 할 때 발신자를 회사로 인증하세요. 고객 휴대전화 번호에 접근할 수 있는 회사는 변경 요청자에게 인증 코드를 문자 메시지로 보내야 합니다.

요즘은 누구나 정보 유출 사고를 당하고 있습니다. 관련 기관에 신속하게 신고하지 않았다고 해서 모두가 벌금을 내는 것은 아닙니다. Cyberhoot에서는 아래 두 영상을 시청하여 준수해야 하는 모든 규정에 대한 정보 유출 신고 절차를 수립하는 방법을 알아볼 것을 권장합니다.