예약번호는 새었는데 항공사 서버는 멀쩡하다? 두 항공사의 ‘외부 시스템’ 사고

여행객은 비행기 출발 시간과 예약번호를 확인한다. 하지만 그 번호가 이동하는 전산 경로까지 보기는 어렵다. 이번 소식은 항공사 로고 밖에도 보안의 관문이 있다는 사실을 드러냈다.

23일 공개된 설명에 따르면 두 항공사는 20일 밤 아마데우스 IT 그룹으로부터 개인정보 유출 정황을 통보받았다. 아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근이 원인으로 지목됐다. 항공사들은 자체 시스템과 내부 데이터베이스에 직접 침입한 흔적은 확인되지 않았다고 밝혔다.

두 대형 항공사가 같은 외부 서비스의 사고를 알렸다는 점에 관심이 집중됐다. 항공사 내부 시스템이 침해되지 않았다는 설명과 고객의 예약정보가 외부에서 유출됐다는 사실은 동시에 성립할 수 있다. 고객정보 보호는 위탁업체의 계정·권한 관리까지 포함한다.

관련 보도는 여행객의 예약정보 안전에 대한 우려와 2차 피해 가능성을 다뤘다. 항공사들도 의심스러운 링크나 파일에 주의하라고 안내했다. 확인되지 않은 이용자 댓글이나 유출 피해자 수를 여론으로 꾸미지는 않았다.

항공권 발권은 항공사와 예약망, 여행사 등 여러 서비스를 연결한다. 이 때문에 공급업체에서 발생한 사고와 항공사 자체 DB의 침해 여부를 따로 구분해야 한다. 이번 사건은 외부 시스템까지 포함해 보안을 점검해야 한다는 과제를 보여준다.

10월 23일 기준 대한항공 고객의 예약번호가 유출 항목에 포함된 것으로 확인됐다. 아시아나는 결제 관련 정보는 포함되지 않았다고 밝혔다. 사고의 정확한 발생 시점과 전체 유출 규모 및 추가 항목은 조사 중이다. 2023년 8월~2026년 9월이라는 추정 기간을 그동안 계속 유출이 있었다는 의미로 단정해서는 안 된다.

양사는 고객에게 안내 메일을 발송하고 추가 조사 결과를 알리겠다고 했다. 고객은 낯선 메시지의 링크를 누르기보다 직접 공식 앱·사이트에 들어가 공지와 예약 상태를 확인할 수 있다. 피해 규모가 확정됐다는 소식은 아직 없다.