[보안 이슈] 대한항공·아시아나 예약정보가 공통 협력사에서 유출됐습니다 — 결제카드는 무사하지만, 당신의 예약번호는 이미 공격자 손에 있습니다
대한항공·아시아나가 공통으로 쓰는 예약시스템 운영사 ‘아마데우스’가 뚫려, 2023년 8월부터 길게는 3년 넘게 고객 예약번호가 유출됐습니다. 결제카드 정보는 무사하지만, 바로 그 때문에 ‘항공사 사칭’ 피싱 위험은 지금부터 더 커집니다.
안녕하세요, dailybetter입니다.
이번 사고의 핵심은 대한항공·아시아나의 자체 전산망이 해킹당한 게 아니라는 점입니다. 두 항공사가 공통으로 맡긴 협력사 한 곳이 뚫리자, 양쪽 고객이 동시에 노출됐습니다. 다행히 카드·결제 정보는 유출 항목에 없습니다. 그런데도 보안 전문가들이 “지금부터가 더 위험하다”고 말하는 데는 분명한 이유가 있습니다.
두 항공사를 한 번이라도 이용한 분이라면, 오늘부터 바뀌어야 할 것은 비밀번호가 아니라 ‘모르는 연락을 대하는 태도’입니다.
무슨 일이 있었나 — 항공사가 아니라 ‘공통 하청’이 뚫렸습니다
이번 사고의 핵심은 두 회사의 전산망이 직접 해킹당한 게 아니라는 점입니다. 대한항공·아시아나 모두 예약과 발권을 글로벌 항공 IT 기업 아마데우스에 맡기고 있는데, 바로 이 수탁사(위탁받아 처리하는 협력사)의 시스템이 침해됐습니다.
침입 방식은 ‘정문으로 들어온 도둑’에 가깝습니다. 외부에서 시스템을 부순 게 아니라, 아마데우스 계정에 부여된 로그인 인증정보(아이디·비밀번호 격)를 손에 넣은 누군가가 정상 계정처럼 접속했다는 것입니다. 그래서 오랜 기간 눈에 띄지 않았고, 추정 기간이 2023년 8월부터 2026년 9월까지 수년 단위로 열려 있었다는 게 가장 무거운 대목입니다.
대한항공은 10월 20일 밤 아마데우스로부터 통보받고 사고를 인지했으며, 자체 시스템을 점검한 결과 직접 침해된 정황은 없다고 밝혔습니다. 두 항공사는 10월 23일 고객에게 사과 이메일을 발송했습니다. 정확한 유출 규모는 아직 조사 중이며 확정 발표되지 않았습니다.
무엇이 샜고, 무엇이 안 샜나 — ‘예약번호’가 왜 위험한가
지금까지 확인된 유출의 중심은 예약번호입니다. 반대로 결제·카드 정보는 유출 항목에 포함되지 않은 것으로 파악됩니다. 여기서 “번호 하나 샌 거 아냐?”라고 넘기면 안 됩니다. 그 이유는 예약번호가 담고 있는 정보의 구조에 있습니다.
예약번호 한 줄에 담긴 것
- 예약번호(PNR, Passenger Name Record): 영문·숫자가 섞인 6자리 안팎의 예약 식별 코드입니다. 단순한 번호가 아니라 그 안에 탑승자 이름·여정·연락처가 한 묶음으로 엮인 ‘예약 꾸러미’의 열쇠입니다. 공격자가 당신의 PNR을 안다는 건, 당신이 실제로 그 항공편을 예약했다는 사실을 정확히 알고 접근할 수 있다는 뜻입니다.
- 결제정보 제외의 의미: 카드가 당장 도용될 위험이 낮다는 점은 분명한 다행입니다. 다만 이건 ‘안심’이 아니라 ‘공격 경로가 바뀌었다’는 신호입니다. 돈을 직접 못 빼가니 공격자는 당신을 속여 스스로 카드정보를 입력하게 만드는 쪽으로 움직입니다.
내 실제 예약번호와 여정을 정확히 아는 상대가 “예약 OOO 결제 오류가 발생해 재확인이 필요합니다”라고 보내면, 평소 거르던 스미싱과 달리 ‘진짜 항공사’처럼 느껴집니다. 유출된 진짜 정보가 가짜 메시지의 신뢰도를 올려주는 구조입니다.
지금 당장 해야 할 것 — 비밀번호보다 ‘연락 대하는 법’
이번 사고는 아이디·비밀번호가 샌 유형이 아니므로, 반사적으로 모든 비밀번호부터 바꿀 필요는 없습니다. 대신 다음 세 가지가 훨씬 중요합니다.
이것만 주의하세요 — 세 가지 원칙
- 항공사 연락은 반드시 ‘직접 접속’으로만 확인하세요. 환불·마일리지 소멸·예약 변경·결제 재확인을 요구하는 문자·이메일이 오면 그 안의 링크를 누르지 말고, 공식 앱이나 북마크해 둔 홈페이지로 직접 들어가 예약 상태를 확인하세요. 진짜 문제가 있으면 앱에 그대로 떠 있습니다.
- 상대가 예약번호를 정확히 말해도 믿지 마세요. 그 번호 자체가 이번에 유출된 ‘공격 재료’입니다. 예약번호를 안다는 것은 더 이상 ‘진짜 항공사’의 증거가 되지 못합니다.
- 어떤 경우에도 카드·간편결제 정보를 입력하지 마세요. 결제정보는 이번에 안 샜습니다. 즉, 지금 누군가 결제 정보를 다시 입력하라고 유도한다면 그게 바로 피싱입니다.
의심 문자는 캡처해 두고, 개인정보 침해가 의심되면 한국인터넷진흥원 개인정보침해 신고센터(국번없이 118)로 문의하세요. 카드가 걱정되면 포털 검색이 아니라 카드 뒷면 번호로 직접 전화하면 됩니다.
자주 떠오르는 질문 세 가지
Q. 내 정보가 유출됐는지 어떻게 확인하나요?
현재 대상자 명단은 조사 중이라 개인이 직접 조회할 공식 창구는 아직 없습니다. 10월 23일 발송된 두 항공사의 공식 통지 이메일 수신 여부가 1차 단서이지만, 이메일 진위를 노린 사칭도 뒤따르므로 메일 속 링크가 아니라 공식 앱으로 확인하세요.
Q. 결제정보가 안 샜다는데 정말 안심해도 되나요?
카드 도용 위험이 낮다는 점은 안심 요소가 맞습니다. 다만 이름·여정·예약번호가 결합된 ‘맞춤형 피싱’의 재료가 풀렸다는 점에서, 금전 피해는 ‘내가 속아서 입력하는’ 경로로 옮겨왔을 뿐 사라진 게 아닙니다.
Q. 지금 비밀번호를 바꿔야 하나요?
비밀번호 유출 유형이 아니라 필수는 아닙니다. 다만 항공사 계정 비밀번호를 다른 사이트와 똑같이 돌려쓰고 있었다면, 이 기회에 분리해 두는 편이 안전합니다.
“유출된 정보가 2차 피해로 이어지는 마지막 길목은 결국 ‘내 클릭’입니다.”
💡 dailybetter 분석가 Note
이번 사고의 진짜 교훈은 ‘내가 거래하는 회사만 믿으면 된다’는 전제가 깨졌다는 데 있습니다. 대한항공·아시아나는 뚫리지 않았지만, 두 회사가 공유하는 단 하나의 협력사가 뚫리자 양쪽 고객이 동시에 노출됐습니다. 공격자가 한 번의 침투로 두 대형 항공사를 한꺼번에 얻은 셈입니다.
소비자가 협력사까지 통제할 방법은 없습니다. 그래서 개인이 쥘 수 있는 유일한 방어선은 ‘먼저 걸려 오는 연락을 믿지 않고, 내가 직접 공식 채널로 되짚어 확인하는 습관’입니다. 유출된 정보가 2차 피해로 이어지는 마지막 길목은 결국 ‘내 클릭’이기 때문입니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요