[NH여행] 아마데우스(GDS) 비인가 접근으로 일부 고객 항공예약번호(PNR) 유출 안내…토파스 고지 요청에 따른 여행사 공지_2026년 11월

NH여행이 2026년 11월 4일 일부 고객의 항공예약번호(PNR) 유출 사실을 안내했다. 글로벌 항공예약시스템(GDS) 운영사 아마데우스(Amadeus)의 시스템 계정 로그인 인증정보를 악용한 비인가 접근이 원인이며, 발생 기간은 2023년 8월부터 2026년 9월까지로 추정된다. 해외에서는 같은 사고로 JAL·ANA·캐세이퍼시픽 고객의 여권번호까지 유출된 사례가 확인됐다.

□  개요 

   NH여행은 2026년 11월 4일 홈페이지에 ‘일부 고객 항공예약 관련 개인정보(예약번호) 유출 안내’를 게시했다. 글로벌 항공예약시스템(GDS) 운영사 아마데우스의 시스템에서 일부 항공예약 관련 개인정보가 유출된 정황이 확인됐다는 내용이다.
    사고는 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 파악됐다. 발생 시점은 2023년 8월부터 2026년 9월 사이로 추정되며, 정확한 시점과 범위는 조사 중이다. 현재까지 알려진 유출 정보는 일부 고객의 항공예약번호(PNR)이고, 추가 유출 여부와 피해 규모는 관계 기관과 아마데우스가 확인하고 있다. NH여행은 자사를 통해 항공권을 예약한 고객의 정보가 포함됐는지 확인하고 있다. 예약 확인·환불·일정 변경을 사칭한 스미싱·피싱에 주의하라고 안내했고, 피해 접수는 아마데우스 전담 이메일로 받는다.
    이 사고는 국내 GDS 사업자 토파스여행정보가 시스템 운영을 재위탁한 아마데우스에서 발생했다. 토파스는 10월 29일 아마데우스로부터 통보를 받고, 11월 1일 공지와 함께 여행사(고객사)에 홈페이지 고지를 요청하며 고지문 템플릿을 제공했다. NH여행 공지는 이 템플릿과 문구가 거의 같다. 아마데우스 사고의 실제 발생 기간은 2023년 8월 10일부터 2026년 9월 23일까지이며, 대한항공·아시아나항공도 예약번호 유출을 공지했다. 해외에서는 JAL 약 9만 2천 명, ANA 약 3만 7,800명, 캐세이퍼시픽 약 5만 3천 건의 예약이 영향을 받았다. 일부 고객은 이메일·전화번호·여권번호·국적까지 유출됐다.

 

□  사고내용 요약  

    1. 회사명 : NH여행 / 사고 발생 : 아마데우스(Amadeus IT Group, GDS 운영사)
    2. 사고유형
        - 공급망(해외 GDS) 해킹 : 아마데우스 시스템 계정 로그인 인증정보를 악용한 비인가 접근
        - 발생 기간 : 2023년 8월 ~ 2026년 9월(추정)
    3. 유출규모
        - NH여행 고객 : 미확인(포함 여부 확인 중)
        - 해외 참고 : JAL 약 92,000명 / ANA 약 37,800명 / 캐세이퍼시픽 약 53,000건(예약 기준)

    4. 유출항목
        - 공지 기준 : 항공예약번호(PNR), 추가 항목은 확인 중
        - 해외 항공사 사례 : 이름, 예약번호, 여정 / 일부 이메일·전화번호·여권번호·국적·마일리지 번호

    5. 특이사항
        - 토파스가 배포한 여행사용 고지문 템플릿과 문구가 거의 같아, 토파스 GDS를 쓰는 여행사로서 고지 요청에 따라 게시한 것으로 보임(추정)
        - 피해 접수 창구를 여행사가 아닌 아마데우스 전담 이메일로 안내
        - 약 3년 동안 이어진 장기 비인가 접근으로 추정
        - 아마데우스 → 토파스 → 여행사 → 고객으로 이어지는 다단계 통지 구조

□  사고대응 타임라인  

    - 2023년 08월 10일(목) ~ 2026년 09월 23일(수)
        . 아마데우스 시스템 비인가 접근 기간(추정)
    - 2026년 10월 20일(화)
        . (참고) 대한항공, 아마데우스로부터 통보 받음
    - 2026년 10월 29일(목)
        . (참고) 토파스여행정보, 아마데우스로부터 공식 통보 받음
    - 2026년 11월 01일(일)
        . (참고) 토파스, 유출 안내 공지와 여행사 대상 홈페이지 고지 요청(템플릿 제공)
    - 2026년 11월 04일(수)
        . NH여행, ‘일부 고객 항공예약 관련 개인정보(예약번호) 유출 안내’ 게시
    - 진행 중
        . NH여행 예약 고객 포함 여부 확인, 아마데우스 유출 범위 조사

□  개인정보 유출 관련 홈페이지 안내  

< 일부 고객 항공예약 관련 개인정보(예약번호) 유출 안내 > (2026-11-04, 요약)

· 글로벌 항공예약시스템(GDS) 운영사인 아마데우스(Amadeus IT Group, S.A.)의 시스템에서 일부 항공예약 관련 개인정보가 유출된 정황이 확인됨
· 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 파악됨
· 사고 발생 시점은 2023년 8월부터 2026년 9월 사이로 추정되며, 정확한 시점과 유출 범위는 조사 중
· 현재까지 알려진 유출 정보에는 일부 고객의 항공예약번호(PNR)가 포함되며, 추가 유출 여부와 피해 규모는 관계 기관과 아마데우스 측에서 확인 중
· NH여행은 당사를 통해 항공권을 예약한 고객의 정보가 유출 대상에 포함되어 있는지 확인하고 있으며, 확인되는 경우 필요한 조치를 신속히 진행할 예정

[2차 피해 예방]
· 출처가 불분명한 문자메시지·이메일의 인터넷 주소(URL) 클릭 주의
· 의심스러운 첨부파일 다운로드 및 실행 자제
· 항공예약 확인, 환불 및 일정 변경 등을 사칭한 개인정보·금융정보 입력 요구 주의
· 의심스러운 연락을 받은 경우 공식 고객센터를 통해 사실 여부 확인

[문의 및 피해 접수]
· 개인정보 유출 피해접수 : 아마데우스 전담 이메일(security_incident@amadeus.com)
· 손해를 입은 경우 개인정보 보호법 제39조·제39조의2에 따른 손해배상청구, 제43조에 따른 분쟁조정 신청 가능(개인정보 분쟁조정위원회, 1833-6972)

※ 공지 원문 확인 전 주요 내용을 요약함

 

□  대응내역  

    - (아마데우스) 비인가 접근 차단, 비밀번호 재설정, 다크웹 모니터링, 탐지 기능 강화, 피해 접수 이메일 운영
    - (토파스여행정보) 고객 안내 공지, 여행사에 홈페이지 고지 요청과 템플릿 제공
    - (NH여행) 유출 안내 공지, 자사 예약 고객 포함 여부 확인, 스미싱·피싱 주의 안내
     ※ NH여행 고객 영향 인원, 추가 유출 항목, 개별 통지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 여행사 GDS 계정 MFA 적용과 비밀번호 주기적 변경, 미사용·퇴사자 계정 정리
        - 예약 업무 PC의 정보탈취 악성코드(인포스틸러) 점검
        - 예약 조회 이력 모니터링과 대량 조회 알림

    2. 관리적 조치
        - 피해 접수를 해외 업체 이메일에만 맡기지 말고 여행사 자체 국문 창구 운영
        - 영향 고객이 확인되면 개별 통지와 예약 변경·환불 사칭 사기 주의 안내
        - GDS·해외 재수탁사 사고 통보 기한을 계약에 명시

□  관련기사(출처)  

• 일부 고객 항공예약 관련 개인정보(예약번호) 유출 안내 - NH여행
• 아마데우스 일부 개인정보(예약번호) 유출 안내 - 토파스여행정보
• 일부 고객 개인정보(예약번호) 유출 안내 - 대한항공
• 해외 협력사 뚫렸다⋯대한항공·아시아나 예약번호 유출 - 아이뉴스24
• Japan Airlines suffers third-party data breach exposing passenger info - BleepingComputer
• Cathay Pacific : une faille chez Amadeus a exposé les données de 53 000 réservations - eSecurity Planet

감사합니다.