데일리 TOP10
1위
대한항공·아시아나 고객 정보 유출…글로벌 예약 시스템 해킹 피해
뉴스보이
2026.10.23. 21:35
뉴스보이
2026.10.23. 21:35
결제 정보 제외 및 2차 피해 방지 당부 속 수탁사 실태 점검 착수
1
글로벌 항공 IT 수탁사 아마데우스의 계정 도용 비인가 접근으로 대한항공과 아시아나 고객 개인정보 유출 정황이 확인됨.
2
사고는 2023년 8월부터 지난달 사이 발생한 것으로 추정되며 고객 예약번호가 포함됐으나 결제 정보는 제외된 상태임.
3
자체 데이터베이스 침해는 없는 것으로 파악됐으며 양사는 고객에게 사과 메일을 발송하고 추가 내역 조사를 진행함.
4
항공사는 유출된 정보를 악용한 보이스피싱 등 2차 피해를 막기 위해 출처가 불분명한 링크 클릭 자제를 당부함.
5
아마데우스가 비인가 접근 차단과 다크웹 감시에 나선 가운데 항공사는 외부 수탁사 전반의 실태 점검을 추진하기로 함.
항공사 전산망 밖에서 승객 정보가 새어 나간 이유
자체 서버는 안전한데 정보가 유출된 이유
예약번호 유출이 불러올 수 있는 위험
중앙 IT 허브를 노리는 공급망 침해
항공사가 마주한 관리 감독 책임과 과제
자체 서버는 안전한데 정보가 유출된 이유
•
항공사는 예약과 발권 같은 핵심 업무를 전문 기술을 가진 글로벌 외주 업체에 맡겨 처리하고 있습니다. 이 때문에 협력업체 시스템의 로그인 인증 정보가 도용되면 항공사 자체 서버를 거치지 않고도 승객 정보가 외부로 노출될 수 있습니다.
•
이번에 사고가 난 아마데우스는 세계 200여 개 항공사의 승객예약기록을 중앙 데이터 센터에 저장하고 관리하는 기업입니다. 침입자는 이 외부 시스템의 계정 정보를 확보해 중앙에 보관된 승객 정보에 무단으로 접근한 것으로 파악되었습니다.
•
조사 결과 이번 정보 유출은 2023년 8월부터 지난달 사이에 일어난 것으로 추정됩니다. 대한항공은 지난 20일 밤 아마데우스로부터 비인가 접근 사실을 공식 통보받고 정확한 피해 규모 파악에 나섰습니다.
예약번호 유출이 불러올 수 있는 위험
•
이번 사고에서 금융 결제 정보는 제외되었지만 유출된 예약번호만으로도 민감한 승객 정보가 노출될 수 있습니다. 다수 항공사의 조회 화면은 여섯 자리 예약번호와 승객의 성만 입력하면 별다른 추가 인증 없이 탑승 정보를 보여주기 때문입니다.
•
외부 침입자가 이 번호를 악용하면 승객의 일정이나 좌석을 임의로 바꾸고 사전에 등록된 여권번호나 연락처까지 열람할 위험이 있습니다. 항공사는 빼낸 고객 정보를 미끼로 삼는 전화나 문자 사기 피해를 막기 위해 출처가 불분명한 인터넷 주소를 누르지 말아 달라고 당부했습니다.
중앙 IT 허브를 노리는 공급망 침해
•
전 세계 수많은 항공사가 소수의 거대 정보기술 서비스 기업에 의존하고 있어 중앙 시스템을 겨냥한 사이버 공격은 과거에도 반복되었습니다. 외주 관리 기업 한 곳만 뚫려도 그 시스템을 함께 쓰는 여러 항공사의 승객 정보가 한꺼번에 유출되는 취약한 구조 때문입니다.
•
실제로 지난 2021년에는 항공 전산 기업 시타의 서버가 공격을 받아 싱가포르항공을 비롯한 수십 개 항공사 승객 수백만 명의 정보가 털렸습니다. 2017년에도 예약 시스템 기업 세이버의 호텔 계정이 도용되어 고객 100만 명 이상의 데이터가 빠져나간 바 있습니다.
항공사가 마주한 관리 감독 책임과 과제
•
개인정보 보호법은 외부 업체에 업무를 맡긴 위탁자가 수탁 업체의 보안 실태를 철저히 관리하고 감독하도록 의무를 부여하고 있습니다. 수탁자가 법을 어겨 손해를 끼쳤을 때는 위탁사 소속 직원의 행위로 간주하므로 국내 항공사도 법적 책임에서 자유롭기 어렵습니다.
•
개인정보보호위원회는 관리 감독 의무를 소홀히 한 위탁 기업에 전체 매출액의 최대 3%에 이르는 과징금을 부과할 수 있습니다. 규제 당국은 형식적인 서류 점검을 넘어 계정 권한 관리와 접속기록 점검 등 실질적인 보안 감독을 펼쳤는지를 중점적으로 들여다볼 예정입니다.
•
피해를 확인한 대한항공과 아시아나항공은 비인가 접근을 차단하고 고객들에게 사과 안내문을 발송했습니다. 양사는 세부 유출 내역을 추가로 파악하는 한편 외부 협력업체 전반의 보안 실태를 점검하고 정보 보호 체계를 강화할 방침입니다.
자체 서버는 안전한데 정보가 유출된 이유
•
항공사는 예약과 발권 같은 핵심 업무를 전문 기술을 가진 글로벌 외주 업체에 맡겨 처리하고 있습니다. 이 때문에 협력업체 시스템의 로그인 인증 정보가 도용되면 항공사 자체 서버를 거치지 않고도 승객 정보가 외부로 노출될 수 있습니다.
•
이번에 사고가 난 아마데우스는 세계 200여 개 항공사의 승객예약기록을 중앙 데이터 센터에 저장하고 관리하는 기업입니다. 침입자는 이 외부 시스템의 계정 정보를 확보해 중앙에 보관된 승객 정보에 무단으로 접근한 것으로 파악되었습니다.
•
조사 결과 이번 정보 유출은 2023년 8월부터 지난달 사이에 일어난 것으로 추정됩니다. 대한항공은 지난 20일 밤 아마데우스로부터 비인가 접근 사실을 공식 통보받고 정확한 피해 규모 파악에 나섰습니다.
예약번호 유출이 불러올 수 있는 위험
•
이번 사고에서 금융 결제 정보는 제외되었지만 유출된 예약번호만으로도 민감한 승객 정보가 노출될 수 있습니다. 다수 항공사의 조회 화면은 여섯 자리 예약번호와 승객의 성만 입력하면 별다른 추가 인증 없이 탑승 정보를 보여주기 때문입니다.
•
외부 침입자가 이 번호를 악용하면 승객의 일정이나 좌석을 임의로 바꾸고 사전에 등록된 여권번호나 연락처까지 열람할 위험이 있습니다. 항공사는 빼낸 고객 정보를 미끼로 삼는 전화나 문자 사기 피해를 막기 위해 출처가 불분명한 인터넷 주소를 누르지 말아 달라고 당부했습니다.
중앙 IT 허브를 노리는 공급망 침해
•
전 세계 수많은 항공사가 소수의 거대 정보기술 서비스 기업에 의존하고 있어 중앙 시스템을 겨냥한 사이버 공격은 과거에도 반복되었습니다. 외주 관리 기업 한 곳만 뚫려도 그 시스템을 함께 쓰는 여러 항공사의 승객 정보가 한꺼번에 유출되는 취약한 구조 때문입니다.
•
실제로 지난 2021년에는 항공 전산 기업 시타의 서버가 공격을 받아 싱가포르항공을 비롯한 수십 개 항공사 승객 수백만 명의 정보가 털렸습니다. 2017년에도 예약 시스템 기업 세이버의 호텔 계정이 도용되어 고객 100만 명 이상의 데이터가 빠져나간 바 있습니다.
항공사가 마주한 관리 감독 책임과 과제
•
개인정보 보호법은 외부 업체에 업무를 맡긴 위탁자가 수탁 업체의 보안 실태를 철저히 관리하고 감독하도록 의무를 부여하고 있습니다. 수탁자가 법을 어겨 손해를 끼쳤을 때는 위탁사 소속 직원의 행위로 간주하므로 국내 항공사도 법적 책임에서 자유롭기 어렵습니다.
•
개인정보보호위원회는 관리 감독 의무를 소홀히 한 위탁 기업에 전체 매출액의 최대 3%에 이르는 과징금을 부과할 수 있습니다. 규제 당국은 형식적인 서류 점검을 넘어 계정 권한 관리와 접속기록 점검 등 실질적인 보안 감독을 펼쳤는지를 중점적으로 들여다볼 예정입니다.
•
피해를 확인한 대한항공과 아시아나항공은 비인가 접근을 차단하고 고객들에게 사과 안내문을 발송했습니다. 양사는 세부 유출 내역을 추가로 파악하는 한편 외부 협력업체 전반의 보안 실태를 점검하고 정보 보호 체계를 강화할 방침입니다.
#대한항공
#아시아나항공
#아마데우스
#개인정보 유출
#보이스피싱
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
