[참좋은여행] 토파스 통보로 아마데우스(GDS) 비인가 접근에 따른 고객 항공예약번호(PNR) 유출 정황 안내…여행사 연쇄 공지_2026년 11월

참좋은여행이 2026년 11월 4일 일부 고객의 항공예약번호(PNR) 유출 정황을 안내했다. 회사는 토파스여행정보로부터 항공예약시스템(GDS) 운영사 아마데우스(Amadeus) 시스템에서 예약정보가 유출된 정황이 있다는 안내를 받았다. 원인은 계정 로그인 인증정보를 악용한 비인가 접근이며, 발생 기간은 2023년 8월 10일부터 2026년 9월 23일까지로 추정된다.

□  개요 

   참좋은여행은 2026년 11월 4일 홈페이지에 ‘아마데우스(Amadeus) 개인정보 유출사고 관련 안내’를 게시했다. 토파스여행정보(주)로부터 아마데우스 시스템에서 일부 고객의 항공예약정보가 유출된 정황이 있다는 안내를 받았다는 내용이다.
    토파스의 안내에 따르면 사고는 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 발생했다. 발생 시점은 2023년 8월 10일부터 2026년 9월 23일 사이로 추정되며, 정확한 시점과 범위는 조사 중이다. 현재까지 확인된 유출 정보는 일부 고객의 항공예약번호(PNR)이고, 추가 유출 여부와 피해 규모는 조사 중이다. 참좋은여행은 자사를 통해 항공권을 예약한 고객의 정보가 포함됐는지 확인하고 있으며, 확인되면 해당 고객에게 바로 안내하겠다고 밝혔다. 예약 확인·환불·일정 변경을 사칭한 개인정보·금융정보 입력 요구에 주의하라고도 당부했다. 문의는 토파스(privacy_1a@topas.net, 1566-0014)로, 피해 접수는 아마데우스(security_incident@amadeus.com)로 안내했다.
    아마데우스는 10월 1일 여행 예약 조회 환경의 취약점을 공개했다. 국내에서는 대한항공·아시아나항공이 예약번호 유출을 공지했고, 토파스는 10월 29일 통보를 받은 뒤 11월 1일 공지하고 여행사(고객사)에 고지를 요청했다. 이후 NH여행 등 여행사들의 공지가 이어지고 있다. 해외에서는 JAL 약 9만 2천 명, ANA 약 3만 7,800명, 캐세이퍼시픽 약 5만 3천 건의 예약이 영향을 받았고, 일부 고객은 이메일·전화번호·여권번호·국적까지 유출됐다.

 

□  사고내용 요약  

    1. 회사명 : 참좋은여행 / 사고 발생 : 아마데우스(Amadeus IT Group, S.A., GDS 운영사)
    2. 사고유형
        - 공급망(해외 GDS) 해킹 : 아마데우스 시스템 계정 로그인 인증정보를 악용한 비인가 접근
        - 발생 기간 : 2023년 8월 10일 ~ 2026년 9월 23일(추정)
    3. 유출규모
        - 참좋은여행 고객 : 미확인(포함 여부 확인 중)
        - 해외 참고 : JAL 약 92,000명 / ANA 약 37,800명 / 캐세이퍼시픽 약 53,000건(예약 기준)

    4. 유출항목
        - 공지 기준 : 항공예약번호(PNR), 추가 항목은 조사 중
        - 해외 항공사 사례 : 이름, 예약번호, 여정 / 일부 이메일·전화번호·여권번호·국적·마일리지 번호

    5. 특이사항
        - 토파스여행정보의 통보를 받아 게시. 아마데우스 → 토파스 → 여행사 → 고객으로 이어지는 다단계 통지 구조가 공지로 확인됨
        - 사고 경위를 ‘토파스의 안내에 따르면’이라고 밝혀, 여행사가 직접 확인한 정보가 아님을 명시
        - 문의·피해 접수를 자사가 아닌 토파스(privacy_1a@topas.net, 1566-0014)와 아마데우스(security_incident@amadeus.com) 창구로 안내
        - 약 3년 동안 이어진 장기 비인가 접근으로 추정
        - NH여행에 이은 국내 여행사 공지 사례

□  사고대응 타임라인  

    - 2023년 08월 10일(목) ~ 2026년 09월 23일(수)
        . 아마데우스 시스템 비인가 접근 기간(추정)
    - 2026년 10월 01일(목)
        . (참고) 아마데우스, 여행 예약 조회 환경 취약점 성명 발표
    - 2026년 10월 29일(목)
        . (참고) 토파스여행정보, 아마데우스로부터 공식 통보 받음
    - 2026년 11월 01일(일)
        . (참고) 토파스, 유출 안내 공지와 여행사 대상 고지 요청
    - 2026년 11월 04일(수)
        . 참좋은여행, ‘아마데우스(Amadeus) 개인정보 유출사고 관련 안내’ 게시
    - 진행 중
        . 참좋은여행 예약 고객 포함 여부 확인, 아마데우스 유출 범위 조사

□  개인정보 유출 관련 홈페이지 안내  

< 아마데우스(Amadeus) 개인정보 유출사고 관련 안내 >
작성일 2026.11.04

안녕하세요. 참좋은여행입니다.

당사는 토파스여행정보(주)로부터 글로벌 항공예약시스템(GDS) 운영사인 아마데우스(Amadeus IT Group, S.A.)의 시스템에서 일부 고객의 항공예약정보가 유출된 정황이 있다는 안내를 받았습니다.

토파스의 안내에 따르면, 이번 사고는 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 파악되고 있습니다. 사고 발생 시점은 2023년 8월 10일부터 2026년 9월 23일 사이로 추정되며, 정확한 발생 시점과 유출 범위에 대해서는 현재 조사가 진행 중입니다.

현재까지 확인된 유출 정보에는 일부 고객의 항공예약번호(PNR)가 포함되어 있으며, 추가적인 개인정보 유출 여부와 구체적인 피해 규모는 조사 중입니다.

당사를 통해 항공권을 예약하신 고객님의 정보가 이번 유출 대상에 포함되어 있는지는 현재 확인 중입니다. 당사는 관련 상황을 지속적으로 확인하고 있으며, 유출 대상 및 구체적인 내용이 확인되는 경우 해당 고객님께 필요한 사항을 신속히 안내하겠습니다.

아울러, 이번 사고를 악용한 스미싱, 피싱 등 2차 피해 예방을 위해 다음 사항에 유의해 주시기 바랍니다.
- 출처가 불분명한 문자메시지 및 이메일의 인터넷 주소(URL) 클릭 주의
- 의심스러운 첨부파일 다운로드 및 실행 자제
- 항공예약 확인, 환불 및 일정 변경 등을 사칭한 개인정보·금융정보 입력 요구 주의
- 의심스러운 연락을 받은 경우 공식 고객센터를 통해 사실 여부 확인

■ 개인정보 유출 관련 문의 및 피해 접수
유출 관련 공지사항 : 토파스 소식 - 공지사항
문의 이메일 : privacy_1a@topas.net
문의 전화 : 1566-0014
피해 접수 이메일(아마데우스) : security_incident@amadeus.com

■ 정보주체 피해 구제 및 법적 권리 안내
이번 사고로 인해 손해를 입으신 경우, 개인정보 보호법 제39조 및 제39조의2에 따른 손해배상·법정손해배상을 청구하거나 제43조에 따른 개인정보 분쟁조정을 신청하실 수 있습니다. 관련 권리 행사 방법은 개인정보 포털(www.privacy.go.kr) 및 개인정보 분쟁조정위원회(1833-6972)를 통해 안내받으실 수 있습니다.

참좋은여행은 고객님의 개인정보 보호를 중요하게 생각하며, 이번 사고와 관련된 상황을 면밀히 확인하고 필요한 보호조치와 후속 대응을 진행하겠습니다.

참좋은여행 드림

 

□  대응내역  

    - (아마데우스) 비인가 접근 차단, 비밀번호 재설정, 다크웹 모니터링, 탐지 기능 강화, 피해 접수 이메일(security_incident@amadeus.com) 운영
    - (토파스여행정보) 여행사에 유출 정황 통보와 홈페이지 고지 요청, 문의 창구(privacy_1a@topas.net, 1566-0014) 운영
    - (참좋은여행) 유출 안내 공지, 자사 예약 고객 포함 여부 확인, 2차 피해 주의 안내
     ※ 참좋은여행 고객 영향 인원, 추가 유출 항목, 개별 통지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 여행사 GDS 계정 MFA 적용과 비밀번호 주기적 변경, 미사용·퇴사자 계정 정리
        - 예약 업무 PC의 정보탈취 악성코드(인포스틸러) 점검
        - 예약 조회 이력 모니터링과 대량 조회 알림

    2. 관리적 조치
        - 피해 접수를 외부 업체에만 맡기지 말고 여행사 자체 국문 창구 운영
        - 영향 고객이 확인되면 개별 통지와 예약 변경·환불 사칭 사기 주의 안내
        - GDS·해외 재수탁사 사고 통보 기한을 계약에 명시

□  관련기사(출처)  

• 아마데우스(Amadeus) 개인정보 유출사고 관련 안내 - 참좋은여행
• 아마데우스 일부 개인정보(예약번호) 유출 안내 - 토파스여행정보
• 일부 고객 개인정보(예약번호) 유출 안내 - 대한항공
• 해외 협력사 뚫렸다⋯대한항공·아시아나 예약번호 유출 - 아이뉴스24
• Japan Airlines suffers third-party data breach exposing passenger info - BleepingComputer
• Cathay Pacific says data of 53,000 bookings compromised in Amadeus cyberattack - SCMP

감사합니다.