대한항공·아시아나 개인정보 유출, 사과 메일 받았다면 할 4가지

아마데우스 해킹, 10월 20일 통보받고 23일 공개됐다

대한항공은 2026년 10월 20일 오후 10시 44분, 아시아나항공은 같은 날 오후 10시 49분에 예약·발권 시스템 운영사 아마데우스 IT 그룹으로부터 개인정보 유출 정황을 통보받았다(뉴데일리 10월 24일 보도). 아마데우스는 항공사와 여행사에 예약·발권 소프트웨어를 제공하는 글로벌 IT 기업이다.

두 항공사가 밝힌 경위는 같다. 아마데우스 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근이다. 데일리시큐는 그 인증정보가 어떻게 확보됐는지, 어느 계정과 권한이 쓰였는지는 확인되지 않았다고 전했다.

대한항공 개인정보 유출 항목, 예약번호는 확인되고 결제정보는 빠졌다

대한항공은 아마데우스를 통해 유출된 개인정보에 고객 예약번호가 포함됐다고 밝혔다(디지털데일리 10월 23일 보도). 아시아나항공도 예약 관련 정보가 유출됐다고 설명했다. 예약번호는 영문·숫자 여섯 자리 식별 코드로, 예약 조회와 변경에 쓰인다.

결제정보는 빠졌다. 아시아나항공은 결제를 별도 시스템에서 처리해 결제 관련 정보는 이번 유출에 들어가지 않았다고 했다. 이름·연락처·이메일·여권처럼 예약에 함께 붙는 정보가 나갔는지는 아직 발표되지 않았다.

유출 기간을 두고 "보도마다 다르다"는 말이 돌았지만, 2026년 10월 23~27일 보도들은 모두 같은 범위(2023년 8월~2026년 9월 추정)를 옮겼다. 매체마다 갈린 것은 통보 시각의 표현(20일 밤 · 오후 10시께 · 10시 44분)이다.

예약번호만 새도 위험한 이유는? 진짜 같은 항공권 스미싱

예약번호가 위험한 까닭은 그 자체보다 진짜 예약을 아는 척할 수 있게 해 주기 때문이다. 솔루션뉴스(10월 26일)는 실제 예약번호가 적힌 문자나 메일은 진짜처럼 보이기 쉽다고 지적했다. 스미싱은 문자 메시지에 링크를 넣어 개인정보나 돈을 빼 가는 사기다.

예약번호만으로 남의 예약을 바로 여는 것은 쉽지 않다. 대한항공 홈페이지는 로그인하지 않은 조회에 예약번호·출발일자·탑승자 이름을 함께 요구하고, 조회 결과도 예약에 등록된 이메일로만 보낸다. 사칭 연락이 이름이나 출발일을 "확인차" 묻는다면 그 빈칸을 채우려는 것일 수 있다.

사과 메일 받았다면 지금 할 4가지

대한항공은 사과 메일에서 출처가 불분명한 링크 클릭, 첨부파일 다운로드, 개인정보 입력 요구에 응하지 말라고 당부했다(세계일보·연합뉴스 10월 23일 보도). 아래 네 가지는 그 당부를 이용자가 바로 할 수 있는 순서로 옮긴 것이다.

아마데우스 해킹, 해외 항공사 이용자도 확인해야 할까?

해외 항공사 이용자도 확인해 둘 만하다. 연합뉴스는 아마데우스 시스템을 쓰는 항공사가 세계 200곳 안팎이라 추가 유출 사례가 드러날 가능성을 배제할 수 없다고 전했다(10월 23일). 다만 2026년 10월 27일 아침까지 다른 항공사의 유출 공지는 국내 보도에서 확인되지 않았다.

지금 할 수 있는 일은 같다. 최근 3년 사이 해외 항공사를 예약했다면 그 항공사의 공지와 받은 메일을 확인하고, 그 항공사 이름을 단 환불·변경 문자에도 같은 원칙을 적용한다. 대한항공·아시아나 항공권을 여행사에서 샀다면 항공사 메일이 여행사 쪽 이메일로 갔을 수 있으니 항공사 홈페이지 공지를 직접 본다.

대한항공·아시아나 유출, 자주 묻는 것