대한항공·아시아나 고객정보 유출과 협력사 조사

무슨 일인가

이번 사고에서 공통으로 확인된 유출 정보는 고객 예약번호입니다. 대한항공은 외부 운영사인 아마데우스의 시스템을 통해 예약번호 등의 정보가 유출된 것으로 파악하고 있으며, 아시아나항공도 같은 운영사를 통한 예약 관련 정보 유출을 설명했습니다. 다만 예약번호 외에 어떤 항목이 얼마나 포함됐는지는 아마데우스가 조사하고 있어, 현재 확인된 항목과 최종 유출 범위는 구분해서 이해해야 합니다.

두 항공사는 10월 20일 밤 아마데우스로부터 개인정보 유출 정황을 통보받았고, 10월 23일 이 사실이 알려졌습니다. 통보받은 날짜는 사고를 인지한 시점이며, 정보가 실제로 빠져나간 날짜를 뜻하지는 않습니다. 정확한 유출 시점과 규모가 파악 중인 만큼, 통보일만으로 어느 기간에 예약한 고객이 영향을 받았는지 정할 수는 없는 상태입니다.

사고가 발생한 곳은 두 항공사의 예약과 항공권 발행 업무를 맡는 외부 업체의 시스템입니다. 두 항공사는 통보 직후 보안을 강화했으며, 자체 시스템과 내부 데이터베이스에 대한 직접적인 침해 정황은 없다고 설명했습니다. 이 설명은 항공사 내부 시스템에 대한 점검 결과로, 외부 운영사가 처리하던 고객정보의 유출 여부와는 구분되는 내용입니다.

유출 정보의 종류에서도 구분이 필요합니다. 아시아나항공은 결제 업무를 별도 시스템에서 처리하기 때문에 결제 관련 정보는 이번 유출에 포함되지 않았다고 밝혔습니다. 이는 아시아나항공이 설명한 결제정보의 처리 구조와 조사 결과이며, 두 항공사의 모든 개인정보 항목이 안전하다고 확인한 발표로 범위를 넓혀 해석할 수는 없습니다.

사고 이후에는 접근 차단과 고객 통지가 함께 진행되고 있습니다. 대한항공은 아마데우스가 허가받지 않은 접근을 막고 다크웹에서 정보 유통 여부를 살피는 조치를 진행 중이라고 설명했습니다. 두 항공사는 10월 23일 고객에게 유출 사실과 사과를 담은 이메일을 보냈으며, 추가로 확인되는 유출 내역도 다시 안내하겠다고 밝혔습니다.

배경과 경위

아마데우스는 항공사뿐 아니라 호텔과 여행사 등 여행 관련 산업에서 사용하는 소프트웨어를 제공하는 글로벌 정보기술 기업입니다. 대한항공과 아시아나항공은 이 회사의 예약·발권 시스템을 함께 이용하고 있습니다. 고객이 이용하는 항공사와 실제 예약정보를 처리하는 외부 시스템 운영사가 서로 다른 구조가 이번 사고의 경위를 이해하는 핵심입니다.

수탁사는 다른 회사로부터 업무를 맡아 처리하는 업체를 뜻하며, 이번 사안에서는 아마데우스가 해당합니다. 대한항공은 이번 통보를 계기로 다른 수탁사들의 실태도 점검하겠다고 밝혔습니다. 다만 계정 관리의 어떤 문제가 있었는지 등 구체적인 침입 경로와 기술적 원인은 확인된 내용으로 제시되지 않았습니다.

누가 무엇을 주장하나

대한항공

대한항공은 아마데우스에 현재 조치보다 강화된 보호 조치와 재발 방지 대책을 요구하고 있다고 밝혔습니다. 추가 피해를 막기 위해 대응하겠다는 입장과 함께, 업무를 맡긴 수탁사들의 실태를 점검해 고객정보 보호 조치를 강화하겠다는 계획을 제시했습니다.

아시아나항공

아시아나항공은 아마데우스를 통한 예약 관련 정보 유출을 설명하고, 추가 피해와 재발을 막기 위해 노력하겠다고 밝혔습니다. 결제정보에 대해서는 예약 업무와 별도 시스템을 이용한다는 점을 들어 이번 유출에는 포함되지 않았다고 설명했습니다.

확인된 사실과 엇갈리는 주장

용어 풀이

다크웹

일반 검색엔진으로 찾기 어렵고 별도의 접속 도구 등을 통해 접근하는 인터넷 영역을 뜻합니다.

앞으로 확인할 것

• 아마데우스가 진행 중인 조사에서 정확한 유출 규모와 전체 유출 항목을 확인할 예정이며, 결과 발표 날짜는 제시되지 않았습니다.
• 대한항공과 아시아나항공은 추가 유출 내역이 확인되는 대로 고객에게 다시 안내할 예정이며, 별도의 안내 날짜는 제시하지 않았습니다.

갱신 기록

1. 2026년 10월 25일리포트를 처음 작성했습니다. (기사 18건, 매체 11곳 기준)