대한항공·아시아나 고객 개인정보 유출…항공권 예약도
2023년 8월부터 2026년 9월 사이 사고 추정…정확한 경위 조사 중
결제정보 유출은 확인되지 않았지만 예약번호 악용 등 2차 피해 우려
외부 협력사 보안 관리 도마 위…항공업계 정보 보호 체계 점검 필요
[지데일리] 대한항공과 아시아나항공의 고객 개인정보가 글로벌 항공 예약·발권 시스템 협력사에서 유출되면서 항공업계의 개인정보 관리 체계에 경고등이 켜졌다.
항공사 자체 데이터베이스가 직접 침해된 정황은 아직 확인되지 않았지만, 양사가 공통으로 이용하는 외부 시스템에서 정보 유출 사고가 발생했다는 점에서 고객 정보 보호의 사각지대가 드러났다는 지적이 나온다.
23일 업계에 따르면 대한항공은 지난 20일 밤 예약·발권 시스템 운영업체인 아마데우스 IT 그룹으로부터 개인정보 유출 정황을 통보받았다. 아시아나항공 역시 같은 업체를 통해 고객 정보 유출 사실을 확인한 것으로 알려졌다.
항공권 예약과 발권 과정에서 핵심적인 역할을 맡는 글로벌 정보기술 업체에서 사고가 발생하면서 국내 주요 항공사 고객들의 정보가 동시에 영향을 받을 가능성이 제기되고 있다.
현재까지 확인된 유출 정보에는 대한항공 고객의 예약번호가 포함됐다. 사고 발생 시기는 2023년 8월부터 2026년 9월 사이로 추정된다. 다만 구체적으로 어떤 정보가 얼마나 유출됐는지, 외부에서 정보에 접근한 경로가 무엇인지, 유출 사실을 처음 인지한 시점은 언제인지 등 핵심 사항은 조사 중이다. 조사 결과에 따라 피해 범위와 고객에게 미치는 영향도 달라질 수 있다.
양사는 자체 데이터베이스가 직접 공격받은 정황은 확인되지 않았다는 입장이다. 아시아나항공은 결제 관련 정보가 유출 항목에 포함되지 않았다고 밝혔다. 이는 현재까지 확인된 피해 범위를 설명하는 데 의미가 있지만, 고객의 불안까지 해소하기에는 정보가 충분하지 않다.
결제정보가 포함되지 않았더라도 예약번호 등 다른 정보가 외부로 유출됐다면 추가적인 피해 가능성을 배제하기 어렵기 때문이다.
항공권 예약정보는 여행 일정과 탑승 관련 정보를 확인하는 데 활용된다. 예약번호가 다른 개인정보와 결합되면 고객을 겨냥한 사칭 연락이나 정교한 피싱 시도에 악용될 가능성도 있다. 항공사나 여행 관련 업체를 사칭해 예약 변경, 환불, 추가 결제 등을 요구하는 방식이다.
다만 현재까지 이러한 2차 피해가 발생했다는 사실이 확인된 것은 아니며, 유출된 정보의 범위와 활용 여부에 대한 추가 조사가 필요하다.
이번 사고의 핵심은 항공사 자체 시스템의 보안 여부만으로 고객 정보를 안전하게 지킬 수 없다는 데 있다. 항공사는 예약·발권과 고객 관리 등 여러 업무를 외부 정보기술 업체에 맡기고 있다.
업무 효율성을 높일 수 있지만 협력사의 보안 수준이 취약하거나 사고 대응 체계가 미흡하면 항공사 고객까지 피해 위험에 노출된다. 특히 여러 항공사가 같은 업체의 시스템을 이용한다면 한 차례의 사고가 광범위한 정보 유출로 이어질 수 있다.
사고 통보 이후 고객 안내가 이뤄지더라도 유출 항목과 시점, 잠재적 피해에 관한 설명이 부족하면 불신은 커질 수밖에 없다. 양사는 고객에게 안내 메일을 보내고 추가로 확인되는 내용을 알릴 방침이다.
이와 함께 유출 대상과 정보 항목을 구체적으로 파악하고, 고객별 위험 수준을 평가해 필요한 보호 조치를 안내하는 일이 중요하다. 협력사의 보안 관리와 사고 보고 절차를 점검하고, 정보 접근 권한과 보관 기간을 최소화하는 대책도 요구된다.
개인정보 보호 책임을 외부 업체에만 맡길 수 없다는 점도 분명하다. 항공사는 협력사의 보안 체계를 지속적으로 검증하고 사고 발생 시 고객에게 신속하고 정확하게 정보를 제공할 수 있는 대응 체계를 갖춰야 한다. 아마데우스 측의 조사 결과와 양사의 후속 조치가 이번 사고의 피해 규모뿐 아니라 항공업계 전반의 정보 보호 수준을 가늠하는 기준이 될 전망이다.