[진에어] 회원정보 조회 API 외부 공격…회원 1,454명 아이디·성명·생년월일·국적·연락처·이메일 등 8개 항목 유출_2026년 10월

저비용항공사 진에어의 회원정보 조회 API가 외부에서 비정상적인 공격을 받아 회원 1,454명의 정보가 유출됐다. 유출 항목은 아이디·성명·생년월일·성별·국적·휴대전화번호·이메일·최근 로그인 일시 8개다. 진에어는 2026년 10월 28일 공격을 확인해 공격 IP를 차단했고, 공격 통로가 된 시스템은 완전히 삭제했다. 이어 10월 29일 홈페이지에 공지했다.

□  개요 

   진에어는 2026년 10월 29일 ‘[공지] 일부 고객정보 유출 안내’를 통해, 내부 시스템에 대한 외부의 비정상적인 접근 정황을 확인했다고 밝혔다.
    지금까지 조사에 따르면 회원정보 조회 API가 외부에서 비정상적인 공격을 받았다. 진에어는 10월 28일 이를 확인해 공격 IP를 차단하는 등 보호조치를 마쳤다. 유출 규모는 회원 1,454명이고, 항목은 아이디·성명·생년월일·성별·국적·휴대전화번호·이메일 주소·최근 로그인 일시다. 비밀번호, 금융정보, 결제 내역은 유출되지 않았으며 지금까지 부정 악용 사례도 확인되지 않았다고 회사는 설명했다.
    진에어는 사태를 인지하자마자 개인정보보호위원회 등에 신고했다. 공격 통로로 확인된 시스템은 접근을 전면 차단한 뒤 완전히 삭제했다. 또 전사 보안 시스템과 취약점을 다시 점검하고 24시간 비상 모니터링 체계를 가동하고 있다. 정보가 유출된 회원에게는 이메일로 개별 통지할 예정이다. 항공업계에서는 10월 20일 대한항공과 아시아나항공이 글로벌 항공 IT 기업 아마데우스로부터 고객 예약정보 유출 정황을 통보받은 일도 있었다. 다만 진에어 사고는 자사 회원정보 조회 API가 직접 공격받은 것으로, 아마데우스 건과는 경로가 다르다.

 

□  사고내용 요약  

    1. 회사명 : (주)진에어(Jin Air)
    2. 사고유형
        - 회원정보 조회 API를 노린 외부의 비정상적인 공격으로 회원정보 유출
        - 구체적인 공격 기법은 미공개(API 권한 검증 미흡이나 파라미터 조작을 이용한 대량 조회 가능성, 추정)
    3. 유출규모
        - 회원 1,454명

    4. 유출항목(8개)
        - 아이디, 성명, 생년월일, 성별, 국적
        - 휴대전화번호, 이메일 주소, 최근 로그인 일시
        ※ 비밀번호, 금융정보, 결제 내역은 유출되지 않음(회사 설명)

    5. 특이사항
        - 침입 지점이 회원정보 조회 API. 9~10월 금융권 사고에서도 API 취약점이 공격 경로로 지목되는 등, API를 노린 대량 조회형 공격이 업종을 가리지 않고 이어짐
        - 공격 통로가 된 시스템을 ‘완전 삭제’함. 쓰지 않는 구형 API나 관리되지 않던 엔드포인트였을 가능성(추정)
        - 유출 항목에 아이디와 최근 로그인 일시가 들어 있음. 아이디가 노출되면 크리덴셜 스터핑이나 계정 탈취 시도에 쓰일 수 있어 비밀번호 변경이 권장됨
        - 이름, 생년월일, 연락처, 이메일이 함께 유출돼 항공권 변경·환불, 마일리지·포인트를 미끼로 한 항공사 사칭 피싱에 악용될 수 있음
        - 공격 확인(10월 28일) 다음 날 유출 인원과 항목을 확정해 공지함
        - 같은 달 대한항공·아시아나는 외부 IT 업체(아마데우스)를 통해 예약정보가 유출됨. 진에어는 자사 API 공격으로 경로가 다름

□  사고대응 타임라인  

    - 2026년 10월 20일(화) (참고)
        . 대한항공·아시아나, 아마데우스로부터 고객 예약정보 유출 정황 통보받음(진에어 사고와는 별개)
    - 2026년 10월 28일(수)
        . 회원정보 조회 API에 대한 외부의 비정상적인 공격 확인
        . 공격 IP 차단 등 보호조치 완료, 공격 통로 시스템 접근 전면 차단 후 완전 삭제
        . 개인정보보호위원회 등 관계기관 신고
    - 2026년 10월 29일(목)
        . 홈페이지에 ‘[공지] 일부 고객정보 유출 안내’ 게시(1,454명, 8개 항목)
        . 언론 보도(뉴시스, 전자신문, 디지털데일리, 보안뉴스 등)
    - 진행 중
        . 사고 조사, 유출 회원 이메일 개별 통지, 전사 취약점 재점검, 24시간 비상 모니터링

□  개인정보 유출 관련 홈페이지 안내  

[공지] 일부 고객정보 유출 안내
2026.10.29

진에어에서 알려드립니다.

당사는 아래와 같이 내부 시스템에 대한 외부의 비정상적인 접근 정황이 확인되어 안내해 드립니다.

사고에 대한 조사는 진행 중이나 현재까지 파악된 바에 의하면 회원정보 조회 API에 대한 외부의 비정상적인 공격이 발생하였고 해당 사실을 10월28일(수) 확인하여 공격 IP를 차단하는 등 보호조치를 완료하였습니다.

이번 사고로 총 1,454명의 회원정보가 유출된 것으로 확인되었으며, 유출 항목은 아이디·성명·생년월일·성별·국적·휴대 전화번호·이메일 주소·최근 로그인 일시입니다.
다만 비밀번호·금융 정보·결제 내역 등 악용 우려가 큰 핵심 민감 정보는 철저히 보호되어 일체 유출되지 않았습니다.
또한 현재까지 이번 건으로 인한 부정 악용 사례는 확인되지 않았습니다.

회원정보가 유출된 고객님께는 이메일을 통해 신속히 개별 통지해 드리겠습니다.

당사는 사태 인지 즉시 개인정보위원회 신고 등 필요한 안전조치를 즉각 수행하였으며 공격 통로로 확인된 시스템의 접근을 전면 차단하고 완전 삭제 조치하였습니다.
아울러 전사 보안 시스템과 취약점을 재점검하고, 24시간 비상 모니터링 체계를 가동하여 보안을 대폭 강화하고 있습니다.

현재까지 이번 사고로 인한 2차 피해 사례는 확인되지 않았으나, 2차 피해가 발생하지 않도록 출처가 불분명한 링크 클릭이나, 첨부파일 다운로드, 개인정보 입력 요구에 응하지 않도록 주의하여 주시기 바랍니다.

이번 사고로 인해 손해를 입으신 경우, 개인정보 보호법 제39조·제39조의2에 따른 손해배상청구 및 제43조에 따른 분쟁조정 신청의 권리를 행사하실 수 있습니다.

유출 여부 확인 및 피해 접수, 기타 문의 사항은 아래의 창구를 이용해 주시기 바랍니다.
- 고객서비스센터: 1600-6200 (운영시간: 09:00 ~ 18:00)
- 이메일 문의: 개인정보 유출 신고센터 (privacy-help@jinair.com)

진에어는 이번 상황을 엄중하게 인식하고 있으며 이번 사고로 인한 추가 피해 방지 및 재발 방지를 위해 최선을 다하겠습니다.
고객 여러분께 심려를 끼쳐드려 진심으로 깊이 사과드립니다.

(주) 진에어 드림

 

□  대응내역  

    - (진에어) 공격 IP 차단, 공격 통로 시스템 접근 전면 차단 후 완전 삭제
    - (진에어) 전사 보안 시스템과 취약점 재점검, 24시간 비상 모니터링 체계 가동
    - (진에어) 홈페이지 공지, 유출 회원 이메일 개별 통지 예정, 스미싱·피싱 주의 안내
    - (진에어) 피해 접수 창구 운영(고객서비스센터 1600-6200, privacy-help@jinair.com)
    - (개인정보보호위원회·한국인터넷진흥원) 유출·침해사고 신고 접수
     ※ 구체적 공격 기법, 노출 기간, 공격 시작 시점, 삭제된 시스템의 성격은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 회원정보 조회 API에 서버 측 인증·권한 검증 적용(요청자 본인 정보만 반환, IDOR 차단)
        - API 게이트웨이에서 호출 빈도 제한(Rate Limit), 봇·자동화 탐지, 비정상 파라미터 순차 조회 탐지
        - API 응답 최소화(불필요한 필드와 최근 로그인 일시 등 제외), 개인정보 마스킹
        - 외부 노출 API 전수 인벤토리화, 미사용·구형 API(섀도우·좀비 API) 폐기(ASM, API 보안 점검)
        - 회원 로그인에 2단계 인증 제공, 아이디 노출 회원 대상 크리덴셜 스터핑 탐지 강화

    2. 관리적 조치
        - API 개발·변경 시 보안성 검토와 OWASP API Security Top 10 기반 점검 의무화
        - 그룹 계열 항공사와 공통 위협 정보(IoC) 공유, 공동 대응
        - 유출 회원 대상 항공사 사칭 피싱 주의와 비밀번호 변경 권고 안내
        - 사고 원인 조사 결과와 재발방지 조치를 후속 공지

□  관련기사(출처)  

• [공지] 일부 고객정보 유출 안내 - 진에어
• 진에어, 외부 해킹으로 1454명 개인정보 유출…“이름·전화번호 등 8개 항목 포함” - 뉴시스
• 진에어, 외부 해킹에 회원 1454명 정보 유출…금융정보는 제외 - 전자신문
• 진에어도 해킹 피해…회원 1454명 개인정보 유출 - 디지털데일리
• 진에어, 1454명 개인정보 유출…“비밀번호·결제내역 등은 안전” - 보안뉴스
• 진에어, 회원정보 조회 API 공격으로 1,454명 개인정보 유출 - 데일리시큐
• 진에어, 해킹 공격에 회원 1454명 개인정보 유출 - 글로벌이코노믹
• 진에어, 외부 해킹에 고객 1454명 개인정보 유출 - 서울신문
• Jin Air Says Data of 1,454 Members Leaked in External Attack - Seoul Economic Daily

감사합니다.