여권·항공 일정까지 담긴 2억2,080만 건 노출…베트남 연계 APIS 데이터베이스 무슨 일이었나

무엇이 노출됐나

보도에 따르면 보안업체 킨류 랩스(Kinryū Labs)는 2026년 6월 3일, pax-info라는 이름의 베트남 연계 Elasticsearch 클러스터를 발견했다. 이 시스템에는 총 220,783,700건의 APIS(사전 승객정보 시스템·Advance Passenger Information System) 기록이 있었던 것으로 전해진다. 29개 인덱스, 약 107GB 규모로, 승객 기록 210,318,069건과 승무원 기록 10,465,631건이 포함됐다. 다만 이는 개인 수가 아니라 기록 건수이므로, 자주 여행한 승객이나 승무원은 여러 번 포함됐을 수 있다. 데이터 범위는 2017년 1월부터 2026년 4월까지다.9

APIS는 항공사가 국제선 운항 전 승객과 승무원의 신원·여행 정보를 국경 당국에 전달하는 데 쓰이는 체계다. 이번 기록은 베트남으로 입국·출국하거나 베트남을 경유한 사람들과 관련된 것으로 보도돼, 베트남 국적자만의 문제가 아니다.212

포함된 것으로 알려진 정보

공개 보도에서 언급된 항목은 다음과 같다.617

• 성명, 생년월일, 성별, 국적
• 여권 또는 여행증명서 번호, 발급국, 만료일
• 항공편 번호·날짜, 항공사 정보, 출발·도착·경유 공항
• 좌석 번호, 승객·승무원 구분, 수하물 참조 정보
• 예정·추정·실제 여행 시각

이 정보 조합은 단순 연락처 유출보다 위험성이 크다. 공격자는 실제 항공편, 좌석, 수하물 정보까지 알고 있는 것처럼 보이게 해 항공사나 출입국 당국을 사칭할 수 있다.

어떻게 접근이 가능했나

보도 내용은 여행자 계정 해킹이 아니라, 여러 접근통제 설정 문제가 겹친 사례를 가리킨다. 이 Elasticsearch 클러스터는 일반적인 공개 인터넷 경로로 직접 접속되지는 않았지만, 별도의 클라우드 기반 경로를 통해 접근할 수 있었던 것으로 전해졌다. 해당 경로에 들어간 연구진은 기본 자격 증명이 허용된다는 점을 확인했다고 한다.5

킨류 랩스는 랜섬웨어 관련 조사 과정에서 노출된 데이터베이스를 살피다 이 시스템을 발견한 것으로 보도됐다. 이후 데이터베이스는 잠기거나 더는 접근할 수 없는 상태가 된 것으로 알려졌다.25

다만 공개 보도만으로는 데이터베이스 운영자, 정확한 클라우드 제공업체, 개인정보처리자, 원천 데이터 시스템이 누구인지 확정할 수 없다. 서버의 네트워크 위치가 베트남과 연계됐다는 사실만으로 특정 베트남 항공사·공항·국경기관·정부기관이 소유하거나 운영했다고 단정할 수는 없다.46

누가 영향을 받았나

현재 보도가 뒷받침하는 범위는 비교적 넓지만 한정적이다. 2017년 1월부터 2026년 4월 사이 베트남으로 가거나, 베트남에서 출발하거나, 베트남을 경유한 국제선 승객과 승무원이 기록에 포함됐을 가능성이 있다.212

반면 다음 사항은 확인되지 않았다.

• 국적별 또는 국가별 상세 영향 규모
• 영향을 받은 항공사의 검증된 목록
• 실제로 서로 다른 개인이 몇 명인지
• 어느 조직이 데이터를 제공·관리·처리했는지

따라서 기록에 특정 항공편이나 항공사 코드가 있었다는 이유만으로, 해당 항공사나 기관을 책임 주체로 지목하는 것은 성급하다.

데이터가 실제로 탈취·악용됐나

시스템에 접근할 수 있었던 기간에는 제3자가 기록을 열람하거나 복사했을 가능성이 있다. 이 가능성 자체가 중대한 기밀성 침해다.

그러나 인용된 공개 보도에는 이 데이터베이스와 직접 연결된 악성 다운로드, 범죄 포럼 판매, 랜섬웨어 공격, 여권 사기 사례가 확인됐다는 증거는 없다.5 노출 기간이 얼마나 됐는지, 접속 로그로 방문자를 식별할 수 있는지, 모든 기록이 최신·정확한 정보인지도 독립적으로 검증된 공개 자료는 없다.

정확한 결론은 이렇다. 탈취가 있었다는 공개적 증거는 없지만, 복사가 전혀 없었다고 증명된 것도 아니다.

비밀번호가 없어도 사기 위험이 큰 이유

노출 항목에 비밀번호가 포함됐다는 보도는 없다. 따라서 즉각적인 비밀번호 재설정이나 전형적인 계정 대입 공격 위험은 상대적으로 낮다. 하지만 이름, 여권 정보, 실제 항공편·노선·좌석·수하물·시간 정보가 결합되면 표적형 사회공학 공격에는 매우 유용할 수 있다.

예를 들어 공격자는 다음과 같은 메시지를 실제처럼 꾸밀 수 있다.

• 항공편 변경 또는 결항 안내
• 수하물 수수료·보상금 청구
• 비자 또는 입국심사 정보 확인 요청
• 항공사 마일리지 계정 경고
• 출발 전 여권 정보 재확인 요청

여행 시각은 특정인이 공항에 있거나 이동 중, 또는 집을 비운 때를 드러낼 수 있어 사생활·신변 안전 측면의 우려도 낳는다. 특히 승무원, 잦은 출장자, 개인 보안 위험이 큰 사람에게 더 민감할 수 있다.

여행객이 할 일

2017년 1월부터 2026년 4월 사이 베트남을 오가거나 경유했다면, 예상치 못한 여행 관련 연락을 평소보다 더 의심할 필요가 있다.

1. 예고 없이 온 항공·수하물·비자·출입국 메시지의 링크를 누르지 않는다. 항공사 공식 앱을 열거나, 직접 알고 있는 공식 주소를 입력한다.
2. 항공편 변경은 독립적으로 확인한다. 수수료를 내거나 여권 정보를 보내기 전, 항공사의 공식 채널에서 예약 정보를 확인한다.
3. 항공사 마일리지 계정을 보호한다. 다른 서비스와 겹치지 않는 비밀번호를 쓰고, 지원된다면 다중인증을 켠다.
4. 여권 사본이나 문서 정보 재확인을 요구하는 연락을 경계한다. 항공사·여행사·정부기관의 검증된 연락처로 직접 문의한다.
5. 여권 또는 신원 도용 징후를 살핀다. 악용이 의심되면 여권 발급기관이나 관할 당국에 상담한다.

규제상 책임은 운영 주체 확인이 전제

현 시점의 보도만으로는 누가 책임을 져야 하는지 확정할 수 없다. 운영자와 데이터 처리 역할이 확인되지 않았기 때문이다.

베트남 시행령 제13호(Decree 13/2023/ND-CP)에 따르면, 개인정보 보호 규정 위반을 발견한 개인정보처리자 또는 개인정보처리자 겸 처리수탁자는 원칙적으로 72시간 안에 공안부 산하 사이버보안 당국에 통지해야 하며, 지연 시 사유를 밝혀야 한다. 이 사안에 해당 의무가 어떻게 적용되는지는 책임 주체와 아직 공개되지 않은 사실관계에 달려 있다.2933

EU 일반개인정보보호법(GDPR)도 관련 개인정보처리자 또는 수탁자가 적용 대상이면 문제가 될 수 있다. GDPR 제33조는 개인정보 침해가 개인의 권리와 자유에 위험을 초래할 가능성이 낮은 경우를 제외하고, 관리자가 침해 사실을 인지한 뒤 부당한 지체 없이, 가능하면 72시간 내 감독기관에 신고하도록 규정한다.43

지금 확인된 핵심은 여권과 여행 일정이 연결된 대규모 기록 저장소가 예방 가능한 접근통제 실패로 노출됐다는 점이다. 누가 운영했는지, 누가 접근했는지, 데이터가 복사됐는지는 기록 건수만큼이나 중요한 미해결 질문으로 남아 있다.