대한항공과 아시아나항공의 고객정보가 외부 IT 협력사에 대한 해킹 공격으로 유출된 사실이 알려지면서 항공업계의 개인정보 관리체계가 도마 위에 올랐다. 항공사 자체 시스템이 아닌 외부 협력사를 통해 정보가 유출됐다는 점에서 위탁업체에 대한 보안관리와 사고 발생 이후 대응 절차가 핵심 쟁점으로 떠올랐다.

24일 항공업계에 따르면 대한항공과 아시아나항공의 IT 시스템 운영에 관여하는 협력사가 사이버 공격을 받으면서 일부 고객정보가 외부로 유출된 것으로 파악됐다. 유출 정보에는 항공권 예약번호 등 예약 관련 자료가 포함된 것으로 전해졌다.

이번 사고는 항공사들이 고객정보를 직접 관리하는 내부 시스템뿐 아니라 외부 협력업체와 연결된 정보처리 환경에서도 보안 위험에 노출될 수 있다는 사실을 드러냈다. 항공사들은 예약과 발권, 운항 지원 등 다양한 업무에 외부 IT 서비스를 활용하고 있어 협력사의 보안 수준이 전체 정보보호 체계에 영향을 미친다.

특히 항공권 예약번호는 예약 조회와 일정 변경 등 고객 서비스 과정에서 사용되는 정보다. 예약번호만으로 모든 개인정보에 접근할 수 있는 것은 아니지만, 다른 정보와 결합될 경우 예약 내역을 확인하거나 고객을 사칭하는 데 악용될 가능성이 있어 유출 범위에 대한 정확한 조사가 요구된다.

고객정보 유출 사고에서 중요한 것은 단순히 해킹 여부를 확인하는 데 그치지 않고 실제로 어떤 정보가 외부에 넘어갔는지 규명하는 일이다. 이름과 연락처, 항공편 이용 내역, 여권 관련 정보 등 민감도가 서로 다른 자료가 포함됐는지에 따라 이용자에게 발생할 수 있는 피해도 달라진다.

대한항공은 지난 20일 오후 10시 44분 글로벌 항공 IT 시스템 운영사인 아마데우스 IT 그룹으로부터 개인정보 유출 정황을 공식 통보받았다. 아시아나항공 역시 같은 업체를 통해 고객 예약 관련 정보가 유출된 사실을 확인했다.

아마데우스는 전 세계 항공사와 호텔, 여행사 등에 예약·발권 소프트웨어를 제공하는 기업이다. 이번 사고는 아마데우스 시스템 계정의 로그인 인증정보를 이용한 외부인의 비인가 접근으로 발생한 것으로 추정된다.

침해 발생 시기는 2023년 8월부터 올해 9월 사이로 추정된다. 다만 실제 침입 시점과 정보가 유출된 기간, 피해 고객 수는 아직 확정되지 않았다. 아마데우스 측이 관련 내용을 조사하고 있으며 추가로 확인되는 정보에 따라 피해 범위가 달라질 수 있다.

현재까지 확인된 유출 항목에는 대한항공 고객의 예약번호와 아시아나항공의 예약 관련 정보가 포함됐다. 두 항공사는 카드번호 등 결제정보는 유출되지 않았으며, 자체 전산망과 내부 데이터베이스가 직접 침해된 정황도 발견되지 않았다고 설명했다.

대한항공과 아시아나항공은 사고 통보를 받은 직후 보안 조치를 시행하고 고객들에게 개인정보 유출 사실을 안내했다. 대한항공은 아마데우스에 추가 피해 방지와 재발 방지 대책을 요구했으며, 다른 IT 수탁사에 대한 보안 실태 점검도 강화하기로 했다.

아마데우스 역시 외부의 비인가 접근을 차단하고 다크웹 모니터링을 진행하고 있다. 유출된 개인정보가 불법적으로 유통되는지 확인하고 추가 피해를 막기 위한 조치다.

대한항공은 현재까지 이번 사고로 인한 2차 피해 사례는 확인되지 않았다고 밝혔다. 다만 고객들에게 출처가 불분명한 인터넷 주소를 클릭하거나 첨부파일을 내려받지 말고, 개인정보 입력을 요구하는 문자메시지와 이메일에 주의해 달라고 당부했다.

이번 사고는 국내 항공사 두 곳이 동일한 외부 IT 협력사를 이용하는 과정에서 발생했다는 점에서도 주목된다. 항공사 자체 시스템에 대한 직접적인 침입이 없더라도 예약·발권 업무를 처리하는 협력사의 계정이 탈취되면 고객정보가 외부로 유출될 수 있다는 사실이 확인된 것이다.

개인정보 보호법에 따라 개인정보처리자는 업무를 외부 업체에 위탁하더라도 수탁자가 개인정보를 안전하게 처리하도록 관리·감독해야 한다. 따라서 이번 사고에서는 아마데우스의 인증정보 관리와 접근통제 체계뿐 아니라 대한항공과 아시아나항공이 위탁업체의 보안 상태를 어떤 방식으로 점검했는지도 살펴볼 필요가 있다.

두 항공사가 고객정보 유출 사실을 통보받고 보안 조치를 시행했지만, 정확한 피해 규모와 유출 항목은 아직 조사 중이다. 특히 침해 가능 기간이 수년에 걸쳐 있는 만큼 실제 접근 기록과 유출 자료를 얼마나 구체적으로 확인할 수 있는지가 중요하다.

항공사와 협력사의 조사 결과에 따라 고객 통지 범위와 추가 보호 조치도 결정될 예정이다. 외부 IT 업체의 인증정보가 악용된 이번 사고에서 누가 어떤 정보에 접근했으며, 장기간 이어졌을 가능성이 있는 침해를 왜 조기에 발견하지 못했는지가 남은 쟁점이다.

박현정 기자