✈️ 해킹을 당한 건, 항공사가 아니었다고 합니다
일본항공(JAL)과 자회사 JTA 고객 약 9만 2천 명의 예약정보가 외부에서 열람된 흔적이 확인됐습니다.
대한항공과 아시아나항공도 앞서 예약번호 등 고객 정보 유출을 알렸습니다.
그런데 이들 항공사의 시스템이 직접 뚫린 것은 아니라고 합니다.
공통점은 예약을 처리하는 외부 업체, 아마데우스의 시스템이었습니다. 프랑스 에너지 기업 Engie의 고객 정보도 협력사가 쓰던 도구를 통해 새어 나갔습니다. 내가 고르지 않은 회사 때문에 내 정보가 새는 구조를 정리했습니다.
🔗 시리즈 「약한 고리」 ④/⑦
| 📌 이 글의 성격 각 사고는 조사가 진행 중이며, 이 글은 회사 발표와 언론 보도를 정리한 것입니다. 특정 업체의 책임을 단정하지 않고, 공격 수법도 자세히 다루지 않습니다. |
1. 무슨 일이 있었나
한 업체에서 여러 항공사로
아마데우스 관련 항공사 고객 정보 유출 개요 [01]
아마데우스는 항공사의 예약·발권·탑승 수속을 한데 처리하는 여객 서비스 시스템을 제공하는 글로벌 IT 기업입니다.
이 시스템을 쓰는 항공사들이 잇따라 고객 정보 노출을 알렸습니다.
| 시점 | 내용 |
| 10월 20일(화) 밤 | 대한항공·아시아나, 아마데우스로부터 유출 정황 통보받음 |
| 10월 23일(금) | 대한항공·아시아나, 고객에게 정보 유출 안내 메일 발송·공개 |
| 10월 23일(금) | JAL·JTA, 아마데우스로부터 보고받음 |
| 10월 28일(수) | JAL·JTA, 약 9만 2천 명 예약정보 열람 흔적 발표 |
| 10월 29일(목) | JAL·JTA 전용 문의 창구 운영 시작, ANA도 같은 시스템에서 일부 고객 정보 열람 흔적 발표(인원 미공개) |
JAL 쪽 열람 흔적이 있는 기간은 2023년 8월 10일(목)부터 2026년 9월 23일(수)까지로 발표됐습니다.
약 9만 명은 예약번호·이름·탑승일·구간·좌석 등급이, 약 2천 명은 여기에 이메일·전화번호·여권번호·국적·마일리지 번호 등이 더해졌다고 합니다.
| 항공사 | 알려진 노출 정보 | 회사 설명 |
| JAL·JTA | 예약정보(약 9만 명), 여권번호·연락처 포함(약 2천 명) | 카드번호·비밀번호 유출 없음, 운항 영향 없음 |
| 대한항공 | 예약번호 (그 밖의 항목은 확인 중) | 결제 정보 유출 없음, 자체 DB 침해 정황 없음 |
| 아시아나 | 예약 관련 정보 | 결제는 별도 시스템이라 결제 정보 유출 없음 |
⭐ 2. 공급망 해킹이란
내가 맡긴 곳이 또 맡긴 곳
공급망 사고가 번지는 흐름 [02]
회사가 직접 뚫리지 않아도, 회사가 일을 맡긴 협력사·위탁처를 거쳐 고객 정보가 새는 사고를 흔히 공급망 공격, 또는 서드파티 리스크라고 부릅니다.
예약 처리, 문자·메일 발송, 결제, 마케팅 같은 일은 외부 전문 업체에 맡기는 경우가 많기 때문입니다.
| 구분 | 자체 시스템 사고 | 공급망(서드파티) 사고 |
| 뚫리는 곳 | 회사 자체 서버 | 협력사·위탁처·관계사 시스템 |
| 피해 범위 | 그 회사 고객 | 같은 업체를 쓰는 여러 회사 고객 |
| 고객이 아는 정도 | 가입한 회사는 앎 | 업체 이름조차 모르는 경우가 많음 |
| 발견 시점 | 회사 탐지에 좌우 | 위탁처가 알려 줘야 알 수 있음 |
이번 항공사 사례가 딱 그렇습니다. 항공사들은 위탁처의 통보를 받고 나서야 사고를 알렸습니다.
대한항공·아시아나는 이번 접근이 "아마데우스 시스템 계정에 부여된 로그인 인증정보"를 이용한 비인가 접근이었다고 설명했습니다. 구체적인 경위는 조사 중입니다.
| 🔗 이번 사고의 약한 고리 — 고객이 고를 수 없는 회사 고객은 항공사를 골랐지만, 항공사가 어떤 업체에 예약 처리를 맡길지는 고를 수 없습니다. 하나의 위탁처를 여러 항공사가 함께 쓰면, 그 한 곳에서 사고가 나면 여러 회사 고객이 함께 영향을 받을 수 있습니다. |
3. 프랑스 Engie 사례
협력사의 마케팅 도구에서
Engie 고객 정보 유출 개요 [03]
세계적인 전력·가스 기업 Engie의 프랑스 고객 정보 유출 사실을 10월 27일(화) 무렵부터 해외 보안매체들이 보도했습니다.
통로는 협력사들이 고객 발굴과 에너지 상품 판매에 쓰던 마케팅 도구였습니다.
| 구분 | 내용 |
| 경로 | 협력사가 쓰던 마케팅 도구에서 비정상적인 데이터 접근 확인 |
| 대상 | 프랑스 고객 (피해 인원은 공개하지 않음) |
| 노출 정보 | 이름, 주소, 이메일, 전화번호, 계량 지점 번호(PDL·PCE), 고객번호, 계약번호 |
| 회사 설명 | 내부 IT 시스템은 침해되지 않음, 은행 정보 영향 없음 |
| 조치 | 접근 차단, 당국 신고, 고객 개별 안내 |
| 💡 "내부는 안전합니다"라는 말의 무게 회사 입장에서는 핵심 시스템이 무사하다는 것이 중요합니다. 하지만 고객 입장에서는 이름·주소·계약번호가 나갔다면, 어느 시스템에서 나갔든 결과는 같습니다. Engie도 이 정보로 고객을 사칭할 수 있다며 사기·피싱을 조심하라고 안내했습니다. |
4. 우리나라 사고도 같은 구조
관계사·위탁 시스템·외곽 접점
국내 사고의 공통 구조 [04]
이번 시리즈 앞 편에서 다룬 국내 사고들도 결국 "본진" 밖에서 시작됐습니다.
| 사고 | 뚫린 곳 | 알려진 규모 |
| 대교 | 관계사 홈페이지 → 연동된 회원 DB | 약 65만 명 |
| 부경대 | 수협은행 발주·외주업체 운영 등록금 수납 시스템 | 5,108명 |
| 금융권 | 대출모집인 조회 서비스, 직원용 시스템 등 | 10월 14일(수) 기준 16곳 |
개인정보보호위원회는 10월 29일(목) 대교에 과징금 32억 5500만 원을 부과했다고 밝히면서, 관계사 웹서버가 회원 DB에 직접 접근할 수 있게 둔 점을 지적했습니다.
부경대 사고를 다룬 보도에는 "학교 자체 보안을 강화하더라도 위탁업체 망이 뚫릴 경우 방어에 한계가 있다"는 한 대학 관계자의 말이 실리기도 했습니다.
| 🔎 보안업계가 본 10월 안랩 ASEC은 10월 29일(목) 보고서에서 2026년 10월 한국·일본 침해 사고의 유입 경로로 외부에 노출된 웹서비스, 앱 백엔드 API, 외주 SaaS(메일 발송·백업 등)를 꼽았습니다. 보안이 느슨한 바깥쪽 접점이 표적이 됐다는 분석입니다. |
⭐ 5. 나는 무엇을 할 수 있나
막을 수는 없어도, 줄일 수는 있습니다
개인이 할 수 있는 일 [05]
위탁처 보안은 고객이 통제할 수 없습니다. 대신 내 정보가 어디에 얼마나 흩어져 있는지는 줄일 수 있습니다.
| 할 일 | 방법 |
| 누가 내 정보를 갖고 있나 | 자주 쓰는 서비스의 개인정보처리방침에서 '개인정보 처리 위탁' 항목 확인 |
| 맡긴 곳 줄이기 | 쓰지 않는 앱·쇼핑몰·멤버십 탈퇴, 마케팅 수신 동의 철회 |
| 비밀번호 분리 | 사이트마다 다른 비밀번호, 중요 계정은 2단계 인증 |
| 사칭 연락 경계 | "유출 확인", "보상 안내" 링크는 누르지 말고 공식 앱·홈페이지로 직접 확인 |
| 항공권 예약 고객 | 항공사 안내 메일·공지를 공식 홈페이지에서 다시 확인 |
개인정보 보호법 제26조는 회사가 위탁 업무의 내용과 수탁자를 정보주체가 언제든 쉽게 확인할 수 있게 공개하도록 정하고 있습니다.
그래서 대부분 개인정보처리방침에 '처리 위탁' 표로 업체 이름과 맡긴 일이 적혀 있습니다.
| ⚠️ 유출 뒤에는 "진짜 같은" 연락이 옵니다 예약번호·탑승일·여권번호처럼 나만 아는 정보를 들이밀면 의심하기가 어렵습니다. 대한항공도 출처가 불분명한 링크·첨부파일, 개인정보 입력 요구에 응하지 말라고 당부했습니다. |
6. 기업은 무엇을 점검해야 하나
협력사 관리의 기본
기업의 협력사 보안 점검 항목 [06]
법은 위탁한 회사에도 수탁자를 교육하고, 개인정보를 안전하게 처리하는지 감독할 책임을 지우고 있습니다.
보안 업계에서 공통적으로 강조하는 점검 항목은 아래와 같습니다.
| 점검 항목 | 내용 |
| 협력사·데이터 흐름 파악 | 어느 업체가 어떤 고객 정보에 접근하는지 목록화 |
| 최소 권한 | 업무에 필요한 범위·기간에만 접근 허용 |
| 협력사 계정 관리 | 다중 인증, 미사용 계정·권한 즉시 회수, 접속 기록 점검 |
| 연결 구조 점검 | 관계사 서버·보조 홈페이지에서 핵심 DB로 바로 가는 길 차단 |
| 통보 체계 | 위탁처 사고를 즉시 알리도록 계약에 명시 |
| 🤝 "맡겼으니 끝"이 아닙니다 대한항공은 아마데우스에 더 강화된 보호조치와 재발 방지 대책을 요구했다고 밝혔습니다. 이번 사고들은 고객 정보는 맡긴 뒤에도 회사가 계속 관리해야 한다는 점을 보여 줍니다. |
다음 편 예고: AI가 해킹을 대신한다
📌 3줄 요약
1. 아마데우스 시스템 사고 — JAL·JTA 약 9만 2천 명, 대한항공·아시아나 예약정보까지 노출!
2. Engie·대교·부경대도 협력사·관계사·위탁 시스템이 통로 — 약한 고리는 바깥에 있었다!
3. 개인은 '처리 위탁' 확인·안 쓰는 서비스 탈퇴·사칭 연락 경계, 기업은 협력사 권한부터 줄이기!
내 정보는 내가 가입한 회사보다 더 멀리까지 가 있습니다 🔗
아마데우스와 각 항공사의 추가 조사 결과가 나오면 이어서 정리해 드리겠습니다.
※ 이 글은 2026년 11월 2일(월) 기준 각 회사 발표와 국내외 언론·보안업계 보도를 정리한 것입니다. 피해 인원, 노출 항목, 접근 경위 등은 조사에 따라 달라질 수 있습니다. 특정 기업·기관의 책임을 단정하지 않으며, 법률 자문이 아닙니다. 대상 여부와 최신 안내는 각 항공사·기업의 공식 홈페이지 공지에서 확인해 주세요.
태그
#공급망해킹 #대한항공개인정보유출 #JAL개인정보유출 #아마데우스 #엔지 #서드파티리스크 #개인정보처리위탁 #개인정보유출 #약한고리시리즈 #정보보안 #시사정리 #한국살이이슈
'IT 이모저모' 카테고리의 다른 글
| 금융권 해킹 16곳 — 은행·증권·코인, 무엇이 뚫렸고 내 정보는? (0) | 2026.11.03 |
|---|---|
| 바이낸스 해킹 이후 — 코인 투자자가 지금 대비할 6가지 (0) | 2026.11.02 |
| 연말 쇼핑철 스미싱·피싱 완전 대응법 — 수법 유형부터 당했을 때 골든타임까지 (0) | 2026.11.01 |
| 랜섬웨어 대비 백업 전략 — 3-2-1 규칙과 그 진화형 3-2-1-1-0 실무 가이드 (0) | 2026.10.31 |
| 내 개인정보·계정 털렸는지 확인하는 법 — 무료 조회부터 명의도용 차단까지 4단계 (0) | 2026.10.30 |
