통념: 카드 정보가 없으면 피해도 제한적이다

대한항공과 아시아나는 협력사 아마데우스 시스템에서 고객 개인정보가 유출된 사실을 확인했다. 뉴스에 따르면 유출 항목은 예약번호 등 예약 관련 정보이며, 카드번호 같은 결제 정보는 포함되지 않았다. 항공사 자체 데이터베이스에 대한 직접 침해 정황도 파악되지 않았다.

이 때문에 피해가 작을 것이라는 해석이 나올 수 있다. 하지만 카드 정보가 없다는 사실만으로 예약정보의 위험까지 낮다고 단정하기는 어렵다. 예약번호가 어떤 정보와 결합될 수 있는지, 실제 유출 항목과 피해 규모가 어디까지인지 조사가 진행 중이기 때문이다.

맹점: 협력사 계정 하나가 두 항공사에 닿았다

이번 사고는 아마데우스 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 확인됐다. 침해 시점은 2023년 8월부터 올해 9월 사이로 추정되지만 정확한 시점과 피해 규모는 아직 조사 중이다.

양사가 자체 DB를 직접 침해당하지 않았다는 설명은 사실이지만, 고객 입장에서 중요한 질문은 어느 회사의 서버에서 시작됐는지만이 아니다. 공동으로 이용하는 IT 협력사의 계정이 뚫리면 두 항공사 고객이 동시에 영향을 받을 수 있다는 점이 이번 사고의 함정이다.

아마데우스는 전 세계 200여 개 항공사가 이용하는 기업이다. 과거 시스템 오류로 주요 항공사의 승객 접수와 수하물 처리가 중단돼 공항 혼선이 생긴 사례도 뉴스에 언급됐다. 보안 사고와 운영 장애는 서로 다른 문제지만, 항공 운영이 외부 IT 시스템에 기대는 구조가 한 곳의 문제를 여러 항공사로 확산시킬 수 있음을 보여준다.

리스크: 예약정보는 피싱의 출발점이 될 수 있다

현재까지 2차 피해 사례는 확인되지 않았다. 다만 예약정보가 악용될 가능성은 배제할 수 없다. 출처가 불분명한 링크나 첨부파일, 개인정보 입력 요구에 응하지 말라는 양사의 안내는 이런 위험을 염두에 둔 조치로 볼 수 있다. 최악의 시나리오에서는 유출 정보가 사칭 연락에 쓰여 추가 개인정보를 노리는 피싱으로 이어질 수 있다. 실제 피해가 확인됐다는 뜻은 아니다.

또 하나 살펴볼 부분은 통지 시점이다. 추정 침해 기간이 2023년 8월부터 올해 9월까지인 만큼, 실제 접근 시점과 항공사의 통지 사이에 간극이 있을 가능성이 있다. 다만 조사 중인 사안이므로 지연 여부나 원인을 단정하기는 어렵다.

결론

이번 사고에서 확인된 핵심은 결제정보 유출 여부만이 아니라, 항공사와 협력사 사이의 접근 통제와 통지 과정이다. 보스가 바로 할 일은 다음과 같다.

  • 대한항공·아시아나의 공식 안내에서 본인 예약 관련 추가 통지가 있는지 확인한다.
  • 예약정보를 언급하며 링크 접속이나 개인정보 입력을 요구하는 연락은 출처를 확인하기 전까지 따르지 않는다.
  • 향후 공지에서 추가 유출 항목, 피해 규모, 비인가 계정 차단과 재발 방지 조치가 구체적으로 공개되는지 살핀다.
  • #대한항공
  • #아시아나항공
  • #아마데우스
  • #개인정보유출
  • #피싱