콴타스항공 콜센터 해킹 600만 고객정보 유출·다크웹 공개 사태

콴타스항공은 2025년 6월 30일 예약 업무를 처리하는 마닐라 소재 외주 콜센터가 사용하는 제3자 플랫폼에서 비정상적인 활동을 포착했다고 밝혔다. 회사는 즉시 해당 시스템에 대한 접근을 차단하고 외부 사이버보안 전문가와 함께 포렌식 조사에 착수했다. 초기 조사 결과 공격자는 시스템 취약점이 아니라 콜센터 상담원을 속이는 사회공학(보이스피싱·비싱) 기법으로 접근 권한을 획득한 것으로 파악됐다. 콴타스는 신용카드 정보나 여권 번호, 재무정보는 이 플랫폼에 저장돼 있지 않아 직접 유출되지 않았다고 설명했다. 그러나 이름, 이메일, 전화번호, 생년월일, 상용고객 번호 등 개인정보가 위험에 노출된 것으로 확인됐다.

콴타스항공은 2025년 7월 2일 이번 침해로 최대 600만 명에 달하는 고객의 개인정보가 유출됐을 가능성이 있다고 공식 발표했다. 유출 항목에는 이름, 이메일 주소, 전화번호, 생년월일, 프리퀀트플라이어(상용고객) 번호가 포함됐으나, 신용카드 세부정보나 여권 정보, 비밀번호는 포함되지 않았다고 강조했다. 호주 최대 항공사가 고객 수백만 명의 정보 유출을 인정하면서 즉각 호주 국내에서 큰 파장이 일었다. 콴타스는 영향을 받은 고객들에게 순차적으로 통지 이메일을 발송하고, 계정 보안 강화를 권고했다. 회사는 사건 대응을 위해 콜센터 운영업체와의 계약을 재검토하겠다고 밝혔다.

사이버보안 전문가들은 이번 공격이 사회공학 전술과 랜섬웨어 배포로 악명 높은 해킹 집단 '스캐터드 스파이더'의 수법과 일치한다고 분석했다. 이 그룹은 같은 시기 하와이안항공, 웨스트젯 등 다른 항공사들도 유사한 방식으로 공격한 전력이 있어, 항공업계를 겨냥한 조직적 캠페인의 일환으로 지목됐다. 공격자들은 콜센터 헬프데스크 직원을 속여 다단계 인증(MFA)을 재설정하게 만드는 방식으로 침투한 것으로 파악됐다. 호주 사이버보안 당국은 항공·여행업계 전반에 콜센터 인증 절차 강화를 긴급 권고했다. 콴타스는 공격 배후를 공식적으로 특정하지는 않았지만 조사에 협조하고 있다고 밝혔다.

콴타스항공은 뉴사우스웨일스주 대법원으로부터 탈취된 고객 데이터에 대한 접근·공유·판매·공개를 금지하는 가처분 명령을 확보했다. 이는 해커들이 다크웹 등에서 데이터를 유통하는 것을 법적으로 차단하려는 선제 조치였다. 그러나 법원 명령은 관할권 밖에서 활동하는 해커 집단에는 실효적 구속력이 제한적이라는 한계가 지적됐다. 콴타스는 이와 별개로 호주 연방경찰(AFP) 및 국제 사법기관과 공조해 배후 추적에 나섰다. 회사는 피해 고객들을 위한 전담 지원팀과 상담 핫라인도 운영하기 시작했다.

콴타스가 몸값 지급을 거부하자 스스로를 '스캐터드 랩서스 헌터스(Scattered Lapsus$ Hunters)'라 칭하는 해커들이 2025년 10월 11일부터 약 512만 명 분량, 총 153기가바이트에 달하는 고객 데이터를 다크웹은 물론 공개 인터넷에도 게시했다. 유출된 자료에는 이름, 이메일, 전화번호, 생년월일, 상용고객 번호가 대량으로 포함돼 있었다. 이 유출은 같은 시기 디즈니, 구글, 이케아 등이 얽힌 대규모 사이버공격 캠페인의 일환으로 보도되기도 했다. FBI가 앞서 이 해커 집단이 사용하던 브리치포럼스(BreachForums) 유출 사이트 도메인을 압수했음에도, 해커들은 다른 경로로 데이터를 재차 공개하며 법 집행의 한계를 드러냈다. 이번 공개로 피해 고객들의 피싱·스미싱 범죄 노출 위험이 실질적으로 높아졌다는 우려가 제기됐다.

호주 정보보호위원회(OAIC)는 2025년 7월 11일부터 2026년 6월 1일까지 약 1년간 진행한 예비조사를 마무리하고 2026년 7월 16일, 콴타스에 대해 정식 조사를 개시하지 않기로 결정했다고 발표했다. OAIC는 콴타스가 제3자 콜센터 운영업체의 개인정보보호법 준수를 관리하는 과정과 사고 발생 후 신속한 침해 봉쇄 및 고지 조치에서 뚜렷한 결함을 발견하지 못했다고 밝혔다. 이번 결정으로 약 512만 명의 호주인이 영향을 받은 이 사건은 규제기관 차원의 공식 제재 없이 일단락됐다. 다만 피해 고객들을 대리한 집단소송 논의는 별도로 계속 진행 중인 것으로 알려졌다. 이번 사례는 항공업계 전반의 제3자 벤더 관리 기준을 재검토하는 계기가 됐다는 평가를 받았다.