[대한항공] 예약·발권 시스템 협력사 '아마데우스' 계정 비인가 접근으로 고객 예약번호 등 개인정보 유출_2026년 10월

대한항공의 수탁사인 글로벌 항공 IT 시스템 운영사 아마데우스(Amadeus IT Group, S.A.)의 시스템 계정이 로그인 인증정보를 이용한 비인가 접근을 당해, 일부 고객의 예약번호가 유출됐습니다. 침해는 2023년 8월부터 2026년 9월 사이로 추정되며, 대한항공은 10월 20일 오후 10시 44분 아마데우스의 공식 통보를 받고 개인정보보호위원회에 신고한 뒤 10월 23일 홈페이지 긴급공지와 고객 이메일로 알렸습니다.

□  개요 

   대한항공은 2026년 10월 23일 홈페이지 긴급공지 '일부 고객 개인정보(예약번호) 유출 안내'를 게시하고, 수탁사 아마데우스의 시스템에서 일부 고객의 예약번호가 유출된 정황을 파악했다고 밝혔습니다.
    대한항공에 따르면 이번 사고는 아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근으로 일어났습니다. 아마데우스는 항공사, 호텔, 여행사 등에 예약·발권 소프트웨어를 공급하는 글로벌 IT 기업입니다. 침해는 2023년 8월부터 2026년 9월 사이에 일어난 것으로 추정되며, 정확한 시점은 조사 중입니다.
    대한항공은 10월 20일 오후 10시 44분 아마데우스의 공식 통보를 받고 개인정보보호위원회 신고 등 안전조치를 즉시 했으며, 자체 시스템(DB)에 대한 침해 정황은 없다고 확인했습니다. 현재까지 확인된 대상 고객에게는 이메일로 알렸고, 그 밖의 유출 항목은 아마데우스를 통해 확인하는 대로 통지할 예정입니다. 결제 정보는 유출 항목에 포함되지 않은 것으로 보도됐습니다.

 

□  사고내용 요약  

    1. 회사명 : 대한항공(수탁사 : Amadeus IT Group, S.A., 예약·발권 시스템 운영)
    2. 사고유형
        - 수탁사 시스템 계정의 로그인 인증정보를 이용한 비인가 접근 → 고객 개인정보 유출
    3. 유출규모
        - 일부 고객(정확한 인원 미공개, 아마데우스 조사 중)
    4. 유출항목
        - 예약번호(그 밖의 항목은 아마데우스를 통해 확인 중, 결제 정보는 미포함으로 보도)

    5. 특이사항
        - 대한항공 시스템이 아닌 수탁사(아마데우스)의 관리 영역에서 일어난 공급망형 사고
        - 침해 추정 기간이 2023년 8월 ~ 2026년 9월(약 3년)으로 길어, 장기간 탐지되지 않았을 가능성
        - 취약점이 아닌 정상 로그인 인증정보로 접근해, 다중 인증(MFA) 적용 여부와 계정 관리가 쟁점이 될 수 있음(추정)
        - 예약번호는 성(姓)과 함께 입력하면 예약 조회·변경에 쓰일 수 있어, 항공권 변경·환불을 미끼로 한 피싱에 악용될 우려(추정)
        - 통보를 받은 뒤 개인정보보호위원회 신고를 즉시 진행했다고 공지
        - 현재까지 확인된 2차 피해는 없음

□  사고대응 타임라인  

    - 2023년 08월 ~ 2026년 09월(추정)
        . 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 일부 고객 예약번호 유출(정확한 시점 조사 중)
    - 2026년 10월 20일(화) 22시 44분
        . 아마데우스, 대한항공에 공식 통보 → 대한항공 인지
        . 대한항공, 개인정보보호위원회 신고 등 안전조치 즉시 수행, 자체 시스템(DB) 침해 정황 없음 확인
    - 2026년 10월 23일(금)
        . 대한항공, 홈페이지 긴급공지 '일부 고객 개인정보(예약번호) 유출 안내' 게시
        . 현재까지 확인된 대상 고객에게 이메일 통지
        . 머니투데이 단독 보도 후 언론 공개
    - 진행 중
        . 아마데우스, 비인가 접근 차단·다크웹 모니터링, 추가 유출 항목 확인
        . 대한항공, 아마데우스에 강화된 보호조치·재발 방지 대책 요구, 추가 항목 확인 시 대상 고객 통지 예정

□  개인정보 유출 관련 홈페이지 안내  

일부 고객 개인정보(예약번호) 유출 안내
카테고리 : 긴급공지 / 등재일자 : 2026년 10월 23일

대한항공에서 알려드립니다.

대한항공의 수탁사인 글로벌 항공 IT 시스템 운영사 ‘Amadeus IT Group, S.A(“아마데우스”)’의 시스템에서 일부 고객의 개인정보(예약번호)가 유출된 정황이 있는 것으로 파악되었습니다.

사고에 대한 조사가 진행 중이나, 현재까지 파악된 바에 의하면 이번 사고는 아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근으로 인해 발생하였습니다. 이번 사고는 2023년 8월에서 2026년 9월 사이에 발생한 것으로 추정되나, 정확한 시점은 조사 중입니다.

당사는 2026. 10. 20. 오후 10시 44분 아마데우스로부터 공식 통보를 받고 이번 사고를 인지하였고, 개인정보보호위원회 신고 등 필요한 안전조치를 즉각 수행하였으며, 당사 자체 시스템(DB)에 대한 침해 정황은 없음을 확인하였습니다.

유출된 개인정보 항목에는 일부 고객님의 예약번호가 포함되어 있는 것으로 확인되었으며, 현재까지 확인된 대상 고객님들께는 이메일로 안내를 진행하였습니다. 그 외 유출 항목에 대하여는 현재 아마데우스를 통해 확인 중으로, 확인되면 대상 고객님께 신속히 통지해 드리겠습니다.

당사는 아마데우스로부터 비인가 접근 차단, 다크웹 모니터링 가동 등 조치를 진행 중인 것으로 보고받았으며, 이에 그치지 않고 더욱 강화된 보호조치와 재발 방지 대책을 요구하고 있습니다.

현재까지 이번 사고로 인한 2차 피해 사례는 확인되지 않았으나, 2차 피해가 발생하지 않도록 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보 입력 요구에 응하지 않도록 주의하여 주시기 바랍니다.

이번 사고로 피해가 발생한 경우 대한항공 여객사업본부 (1588-2001, privacy1a@koreanair.com)로 연락해 주시기 바랍니다.

이번 사고로 인해 손해를 입으신 경우, 개인정보 보호법 제39조·제39조의2에 따른 손해배상청구 및 제43조에 따른 분쟁조정 신청의 권리를 행사하실 수 있습니다.(개인정보 분쟁조정위원회, 1833-6972)

이번 사고는 아마데우스의 관리 영역에서 발생하였으나, 당사는 본 상황을 매우 엄중하게 인식하고 있습니다. 당사는 이번 사고로 인한 추가 피해 및 재발 방지를 위해 총력을 다하겠습니다. 고객님께 심려를 끼쳐드려 다시 한번 깊이 사과드립니다.

(주) 대한항공 드림

 

□  대응내역  

    - (대한항공) 개인정보보호위원회 신고 등 안전조치 즉시 수행, 자체 시스템(DB) 침해 여부 점검(침해 정황 없음)
    - (대한항공) 홈페이지 긴급공지 게시, 확인된 대상 고객 이메일 통지(10월 23일)
    - (대한항공) 여객사업본부 피해 접수 창구 운영(1588-2001, privacy1a@koreanair.com)
    - (대한항공) 아마데우스에 강화된 보호조치·재발 방지 대책 요구, 개인정보 처리 수탁사 전반 실태 점검 예정(언론 보도)
    - (아마데우스) 비인가 접근 차단, 다크웹 모니터링 가동, 추가 유출 항목 확인
     ※ 유출 고객 수, 예약번호 외 유출 항목, 탈취된 계정의 소유 주체, 인증정보 탈취 경로, 아마데우스 공식 입장은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 수탁사 시스템에서 고객정보에 접근하는 모든 계정에 다중 인증(MFA) 적용과 접속 IP 제한 요구
        - 수탁사 계정의 대량 조회, 비정상 시간대·새로운 지역 접속을 탐지하고 위탁사(대한항공)에 공유하는 체계 마련
        - 장기간 쓰지 않거나 공용으로 쓰는 계정 정리, 인증정보 주기적 변경
        - 다크웹·인포스틸러 로그에서 수탁사 계정 인증정보 노출 여부 상시 모니터링

    2. 관리적 조치
        - 위탁 계약에 보안 요구사항(MFA, 로그 보관, 사고 통보 기한)과 정기 점검 권한을 명시
        - 해외 수탁사를 포함한 개인정보 처리 수탁사 전체 실태 점검
        - 유출 규모·항목을 신속히 확정해 고객에게 구체적으로 재안내
        - 고객 피해 예방 : 항공권 변경·환불·마일리지 지급을 미끼로 한 문자·메일의 링크 클릭 금지, 예약 변경은 대한항공 공식 앱·홈페이지에서 직접 확인

□  관련기사(출처)  

• 일부 고객 개인정보(예약번호) 유출 안내 - 대한항공 공지사항
• [단독] 대한항공 협력사 고객 개인정보 유출...예약번호 포함 - 머니투데이
• 대한항공 협력사 고객 개인정보 유출 - 한국경제
• 대한항공 고객 예약번호 유출…협력사 아마데우스 계정 뚫렸다 - 뉴스1
• 대한항공·아시아나서 개인정보 유출…예약시스템 협력사서 사고 [종합] - 파이낸셜뉴스
• Personal data of Korean Air customers leaked···overseas partner ‘Amadeus’ system breached - The Kyunghyang Shinmun

감사합니다.