[아시아나항공] 예약·발권 시스템 운영사 '아마데우스' 계정 비인가 접근으로 일부 고객 예약번호 유출

[아시아나항공] 예약·발권 시스템 운영사 '아마데우스' 계정 비인가 접근으로 일부 고객 예약번호 유출_2026년 10월

경험한사람 2026. 10. 24. 09:57

아시아나항공이 여객 예약·발권 서비스에 쓰는 글로벌 항공 예약 시스템 운영사 아마데우스(Amadeus IT Group, S.A.)의 시스템 계정이 로그인 인증정보를 이용한 비인가 접근을 당해, 일부 고객의 예약번호가 유출됐습니다. 침해는 2023년 8월부터 2026년 9월 사이로 추정되며, 아시아나항공은 10월 20일 오후 10시 49분 아마데우스의 공식 통보를 받고 개인정보보호위원회에 신고한 뒤 10월 23일 홈페이지 공지와 고객 이메일로 알렸습니다.

□ 개요

아시아나항공은 2026년 10월 23일 홈페이지에 '일부 고객 개인정보(예약번호) 유출 안내'를 게시하고, 아마데우스 시스템에서 일부 고객의 예약번호가 유출된 정황을 파악했다고 밝혔습니다.
아시아나항공에 따르면 이번 사고는 아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근으로 일어났습니다. 침해는 2023년 8월부터 2026년 9월 사이에 일어난 것으로 추정되며, 정확한 시점은 조사 중입니다.
아시아나항공은 10월 20일 오후 10시 49분 아마데우스의 공식 통보를 받고 개인정보보호위원회 신고 등 안전조치를 즉시 했으며, 자체 시스템(DB)에 대한 침해 정황은 없다고 확인했습니다. 현재까지 확인된 대상 고객에게는 이메일로 알렸고, 그 밖의 유출 항목은 아마데우스를 통해 확인하는 대로 통지할 예정입니다. 아시아나항공은 항공권 결제를 별도 시스템에서 처리해 결제 정보는 유출되지 않았다고 설명했습니다.

□ 사고내용 요약

1. 회사명 : 아시아나항공(예약·발권 시스템 운영사 : Amadeus IT Group, S.A.)
2. 사고유형
- 예약 시스템 운영사 시스템 계정의 로그인 인증정보를 이용한 비인가 접근 → 고객 개인정보 유출
3. 유출규모
- 일부 고객(정확한 인원 미공개, 아마데우스 조사 중)
4. 유출항목
- 예약번호(그 밖의 항목은 아마데우스를 통해 확인 중, 결제 정보는 미포함)

5. 특이사항
- 아시아나항공 시스템이 아닌 예약 시스템 운영사(아마데우스)의 관리 영역에서 일어난 공급망형 사고
- 침해 추정 기간이 2023년 8월 ~ 2026년 9월(약 3년)으로 길어, 장기간 탐지되지 않았을 가능성
- 취약점이 아닌 정상 로그인 인증정보로 접근해, 다중 인증(MFA) 적용 여부와 계정 관리가 쟁점이 될 수 있음(추정)
- 예약번호는 성(姓)과 함께 입력하면 예약 조회·변경에 쓰일 수 있어, 항공권 변경·환불을 미끼로 한 피싱에 악용될 우려(추정)
- 항공권 결제는 별도 시스템에서 처리해 결제 정보는 유출되지 않았다는 설명
- 통보를 받은 뒤 개인정보보호위원회 신고를 즉시 진행했다고 공지
- 현재까지 확인된 2차 피해는 없음

□ 사고대응 타임라인

- 2023년 08월 ~ 2026년 09월(추정)
. 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 일부 고객 예약번호 유출(정확한 시점 조사 중)
- 2026년 10월 20일(화) 22시 49분
. 아마데우스, 아시아나항공에 공식 통보 → 아시아나항공 인지
. 아시아나항공, 개인정보보호위원회 신고 등 안전조치 즉시 수행, 자체 시스템(DB) 침해 정황 없음 확인
- 2026년 10월 23일(금)
. 아시아나항공, 홈페이지 공지 '일부 고객 개인정보(예약번호) 유출 안내' 게시
. 현재까지 확인된 대상 고객에게 이메일 통지
. 언론 보도
- 진행 중
. 아마데우스, 비인가 접근 차단·다크웹 모니터링, 추가 유출 항목·규모 확인
. 아시아나항공, 보안 강화 조치, 아마데우스에 강화된 보호조치·재발 방지 대책 요구, 추가 항목 확인 시 대상 고객 통지 예정

□ 개인정보 유출 관련 홈페이지 안내

일부 고객 개인정보(예약번호) 유출 안내
2026.10.23

아시아나항공에서 알려드립니다.

아시아나항공이 여객 예약 및 발권 서비스를 위해 이용하는 글로벌 항공 예약 시스템 운영사인 ‘Amadeus IT Group, S.A(“Amadeus”)’의 시스템에서 일부고객의 개인정보(예약번호)가 유출된 정황이 있는 것으로 파악되었습니다.

사고에 대한 조사가 진행 중이나, 현재까지 파악된 바에 의하면 이번 사고는 Amadeus의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근으로 인해 발생하였습니다. 이번 사고는 2023년 8월에서 2026년 9월 사이에 발생한 것으로 추정되나, 정확한 시점은 조사 중입니다.

당사는 2026. 10. 20. 오후 10시 49분 Amadeus로부터 공식 통보를 받고 이번 사고를 인지하였고, 개인정보보호위원회 신고 등 필요한 안전조치를 즉각 수행하였으며, 당사 자체 시스템(DB)에 대한 침해 정황은 없음을 확인하였습니다.

유출된 개인정보 항목에는 일부 고객님의 예약번호가 포함되어 있는 것으로 확인되었으며, 현재까지 확인된 대상 고객님께는 이메일로 안내를 진행하였습니다. 그 외 유출 항목에 대하여는 현재 Amadeus를 통해 확인 중으로, 확인되면 대상 고객님께 신속히 통지해 드리겠습니다.

당사는 Amadeus로부터 비인가 접근 차단, 다크웹 모니터링 가동 등 조치를 진행 중인 것으로 보고받았으며, 이에 그치지 않고 더욱 강화된 보호조치와 재발 방지 대책을 요구하고 있습니다.
현재까지 이번 사고로 인한 2차 피해 사례는 확인되지 않았으나, 2차 피해가 발생하지 않도록 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보 입력 요구에 응하지 않도록 주의하여 주시기 바랍니다.

이번 사고로 피해가 발생한 경우 아시아나항공 여객본부(1588-8000, Privacy-help@flyasiana.com)로 연락해 주시기 바랍니다.
이번 사고로 인해 손해를 입으신 경우, 개인정보 보호법 제39조·제39조의2에 따른 손해배상청구 및 제43조에 따른 분쟁조정 신청의 권리를 행사하실 수 있습니다.(개인정보분쟁조정위원회, 1833-6972)

이번 사고는 Amadeus의 관리 영역에서 발생하였으나, 당사는 본 상황을 매우 엄중하게 인식하고 있습니다.
당사는 이번 사고로 인한 추가 피해 및 재발 방지를 위해 총력을 다하겠습니다. 고객님께 심려를 끼쳐드려 다시 한번 깊이 사과드립니다.

아시아나항공(주) 드림

□ 대응내역

- (아시아나항공) 개인정보보호위원회 신고 등 안전조치 즉시 수행, 자체 시스템(DB) 침해 여부 점검(침해 정황 없음)
- (아시아나항공) 홈페이지 공지 게시, 확인된 대상 고객 이메일 통지(10월 23일)
- (아시아나항공) 여객본부 피해 접수 창구 운영(1588-8000, Privacy-help@flyasiana.com)
- (아시아나항공) 보안 강화 조치, 아마데우스에 강화된 보호조치·재발 방지 대책 요구
- (아마데우스) 비인가 접근 차단, 다크웹 모니터링 가동, 추가 유출 항목·규모 조사
※ 유출 고객 수, 예약번호 외 유출 항목, 탈취된 계정의 소유 주체, 인증정보 탈취 경로, 아마데우스 공식 입장은 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 예약 시스템 운영사에서 고객정보에 접근하는 모든 계정에 다중 인증(MFA) 적용과 접속 IP 제한 요구
- 운영사 계정의 대량 조회, 비정상 시간대·새로운 지역 접속을 탐지하고 항공사에 공유하는 체계 마련
- 장기간 쓰지 않거나 공용으로 쓰는 계정 정리, 인증정보 주기적 변경
- 다크웹·인포스틸러 로그에서 운영사 계정 인증정보 노출 여부 상시 모니터링

2. 관리적 조치
- 위탁 계약에 보안 요구사항(MFA, 로그 보관, 사고 통보 기한)과 정기 점검 권한을 명시
- 해외 운영사를 포함한 개인정보 처리 위탁사 전체 실태 점검
- 유출 규모·항목을 신속히 확정해 고객에게 구체적으로 재안내
- 고객 피해 예방 : 항공권 변경·환불·마일리지 지급을 미끼로 한 문자·메일의 링크 클릭 금지, 예약 변경은 아시아나항공 공식 앱·홈페이지에서 직접 확인

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)