아마데우스 시스템서 대한항공·아시아나 고객 예약번호 유출

2026년 10월 23일, 대한항공과 아시아나항공의 고객 예약번호가 외부 수탁사인 아마데우스 IT 그룹의 시스템에서 유출된 것으로 확인됐다. 유출된 정보에는 고객의 항공권 예약번호가 포함된 것으로 파악됐으며, 결제 관련 정보는 포함되지 않았다. 대한항공은 20일 오후 10시 44분께 아마데우스 측으로부터 유출 사실을 통보받았다. 현재까지 확인된 유출 규모는 정확히 파악되지 않았다. 아마데우스 측은 비인가 접근 차단과 다크웹 모니터링 가동 등의 조치를 진행 중이다.

이번 사건은 항공사의 자체 IT 시스템이 침해되지 않았음에도 불구하고, 외부 수탁사의 시스템에서 개인정보가 유출된 사례로, 산업 전반의 공급망 보안 위험을 다시금 부각시킨다. 항공사들은 고객 예약 정보를 처리하는 데 있어 아마데우스와 같은 글로벌 IT 기업에 의존하고 있으며, 이들의 보안 사고가 직접 고객 데이터에 영향을 미칠 수 있음을 보여준다. 특히 이번 사고는 2023년 8월부터 2026년 9월 사이에 발생한 것으로 추정되며, 수년간 지속된 침해 정황이 확인된 만큼, 보안 사고의 지속성과 감지 지연 문제도 함께 제기된다.

이전과의 차이점은 이번 사고가 항공사의 내부 시스템이 아닌, 외부 수탁사의 시스템에서 발생했다는 점이다. 기존에는 항공사 자체 시스템 침해 사고가 주로 보도됐지만, 이번처럼 수탁사의 인프라에서 발생한 사고는 공급망 보안의 취약성을 명확히 드러낸다. 기존에는 고객이 항공사의 공식 사이트를 통해 정보를 입력했지만, 이번처럼 수탁사의 시스템이 중간에 개입된 경우, 고객이 인지하지 못한 채 개인정보가 유출될 수 있다.

대한항공 최근 주요 공시

• 10월 15일 · 기업설명회(IR)개최(안내공시)
• 10월 15일 · 기업설명회(IR)개최(안내공시)
• 10월 15일 · 영업(잠정)실적(공정공시)

자료: 금융감독원 전자공시시스템(DART)

아마데우스는 항공사, 호텔 등 여행 관련 기업에 예약·발권 소프트웨어를 제공하는 글로벌 IT 기업으로, 전 세계 항공사의 예약 시스템 운영에 핵심 역할을 하고 있다. 이번 유출 사고는 고객이 직접 항공사 사이트를 이용하지 않고도, 아마데우스의 시스템이 중간에 개입된 방식으로 데이터가 처리된 점에서, 고객이 인지하지 못한 채 개인정보가 외부로 유출될 수 있음을 시사한다. 특히 계정 로그인 인증정보를 이용한 비인가 접근이 원인으로 파악되면서, 외부 수탁사의 보안 인프라가 얼마나 중요한지 다시 한번 부각된다.

이메일에는 유출된 정보의 범위와 보안 조치 현황, 추가 피해를 막기 위한 주의사항이 포함됐으며, 고객이 불안을 느끼지 않도록 신속한 공지와 대응이 이뤄졌다. 아시아나항공 역시 유출 사실을 알리고 사과하는 내용의 메일을 발송한 것으로 확인됐다. 양사 모두 자체 IT 시스템과 데이터베이스에서는 침해 정황이 없음을 확인했으며, 아마데우스 측의 조사 결과가 나올 때까지 추가 조치를 지속할 계획이다.

대한항공 관계자는 아마데우스 측이 비인가 접근 차단과 다크웹 모니터링을 가동하고 있음을 확인했으나, 이는 충분한 대응이 아님을 강조했다. "아마데우스 측에서도 비인가 접근 차단, 다크웹 모니터링 가동 등의 조치가 진행 중이나, 당사는 더 강화된 보호 조치와 재발방지 대책을 요구하고 있다"고 밝혔다. 추가 피해 및 재발 방지를 위해 고객 개인정보 보호에 필요한 모든 노력을 기울이겠다는 입장을 재확인했다.

대한항공과 아시아나항공은 현재까지 자체 시스템과 데이터베이스에 침해 정황이 없음을 확인했다. 그러나 아마데우스 측이 구체적인 유출 규모와 추가 유출 항목을 조사 중이며, 그 결과가 나올 때까지 고객들에게 추가 안내를 할 예정이다. 대한항공은 메일에서 "2차 피해가 발생하지 않도록 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보 입력 요구에 응하지 않도록 주의해달라"고 당부했다. 아시아나항공 역시 결제 정보는 포함되지 않았다고 밝혔으며, 보안강화 조치를 실시 중이다. 아마데우스는 비인가 접근 차단과 다크웹 모니터링을 가동하고 있다.