호주 개인정보위, 콴타스 512만명 유출 본조사 않기로…CRM 기본설정 악용

호주 정보위원회(OAIC)가 16일 공개한 공식 보고서에 따르면, 개인정보보호 감독기관은 2025년 발생한 콴타스 고객정보 유출에 대한 예비조사를 마치고 현 단계에서 본조사나 규제 조치에 착수하지 않기로 했다. 약 1년 동안 자료를 검토한 결과 콴타스가 개인정보 보호를 위해 합리적인 조치를 취하지 않았다고 볼 만한 정황이 확인되지 않았다는 판단이다.

이번 사고는 기술 취약점만을 노린 침투가 아니라 전화 기반 사회공학 공격에서 시작됐다. 2025년 6월 28일 공격자는 콴타스가 계약한 해외 콜센터 직원에게 전화를 걸어 ‘콴타스 IT 지원’을 사칭했다. 이어 고객관계관리(CRM) 플랫폼의 지원 티켓을 닫는 데 필요하다며 일련의 작업을 지시했다.

해당 직원은 업무상 고객 프로필에 접근할 권한이 있었다. 공격자의 지시를 따른 결과 직원의 CRM 환경이 공격자가 운영하는 데이터 추출 도구와 연결됐고, 접근 가능한 고객정보가 외부로 빠져나갔다. OAIC는 이를 보이스피싱을 뜻하는 ‘비싱’ 공격으로 규정했다.

보고서는 침해 당시 CRM의 기본 설정이 최종 사용자의 제3자 애플리케이션 연결 승인을 허용했다고 설명했다. 이 설정 때문에 역할 기반 접근 통제를 강화하는 것만으로는 같은 방식의 공격을 막기 어려웠다는 것이 OAIC의 판단이다. CRM 제공사는 사고 이후 모든 고객을 대상으로 해당 기본 설정을 변경했다.

피해 규모는 고객 레코드 약 570만 건이며, 영향을 받은 호주인은 약 512만 명으로 집계됐다. 약 400만 건에는 이름, 전화번호, 이메일 주소와 상용고객 번호·등급·포인트 잔액 등이 포함됐다. 나머지 약 170만 건에는 주소, 생년월일, 성별, 기내식 선호 정보 가운데 하나 이상이 추가로 들어 있었다. 다만 신용카드, 금융정보, 여권정보는 해당 CRM에 저장되지 않았고 비밀번호, PIN, 로그인 정보도 침해되지 않았다고 콴타스는 밝혔다.

콴타스는 이틀 뒤인 6월 30일 비정상적인 로그인 시도 경보를 확인하고 관련 계정의 접근을 동결·회수했다. 같은 날 로그 분석과 유출 범위 확인, 사고 대응 절차를 가동했고 7월 2일 사고를 공개했다. 이후 피해 고객에게 영향을 받은 정보 유형을 알리고 전담 지원창구와 신원보호 지원을 제공했다.

OAIC는 콴타스가 사고 전 해외 위탁업체를 주기적으로 감사했고 콜센터 직원에게 사이버보안·개인정보 교육을 의무화했다고 봤다. 위탁 계약에는 호주 개인정보보호 원칙과 ISO 27001, 유럽 일반개인정보보호법 준수 조건, 감사 권한도 포함돼 있었다. 고객정보 접근은 역할에 따라 제한됐으며 사고 대응 체계도 마련돼 있었다.

감독기관은 이런 조치와 사고 후 대응을 종합하면 개인정보 보호 원칙 위반 가능성을 뒷받침할 증거가 부족하다고 결론냈다. 다만 이는 예비조사 단계의 판단이며 콴타스의 전반적인 개인정보 보호 관행을 승인한 것으로 받아들여서는 안 된다고 선을 그었다. 새로운 정보가 확인되면 향후 조사에 착수할 수 있고, 이번 유출과 관련한 대표 민원과 개별 민원 절차도 별도로 진행 중이다.

이번 보고서는 보안 교육과 접근 통제가 갖춰진 환경에서도 정상 기능을 악용한 사회공학 공격이 대규모 유출로 이어질 수 있음을 보여준다. 특히 외부 애플리케이션 연결 권한과 기본 설정, 데이터 추출량 감시처럼 사용자의 정상 권한을 전제로 한 통제가 위탁 운영 환경에서 중요하다는 점을 드러냈다.

출처: 호주 정보위원회 공식 발표 https://www.oaic.gov.au/news/media-centre/privacy-commissioner-completes-preliminary-inquiries-into-qantas-2025-data-incident
출처: 호주 정보위원회 예비조사 보고서 https://www.oaic.gov.au/privacy/privacy-assessments-and-decisions/privacy-decisions/Investigation-inquiry-reports/report-into-preliminary-inquiries-of-qantas
출처: 콴타스 공식 사고 공지 https://agencyconnect.qantas.com/en/news/jul-2025/qantas-cyber-incident