들어가며
대한항공이나 아시아나에서 「개인정보 유출 안내」 메일을 받으셨나요, 아니면 뉴스를 보고 내 예약도 나갔는지 궁금하신가요?
지금 확인된 유출 항목은 예약번호 하나이고, 할 일은 다가오는 예약을 앱에서 직접 보는 것과 예약번호가 적힌 연락을 믿지 않는 것입니다.
오늘 블로그는, 10월 23일 저녁 대한항공이 고객에게 보낸 메일 한 통으로 시작해 보려고 합니다.
대한항공과 아시아나의 예약·발권 시스템을 운영하는 해외 회사 아마데우스에서
고객 정보가 새어 나간 정황이 10월 20일 밤 두 항공사에 통보됐습니다.
원인은 아마데우스 시스템 계정의 로그인 정보를 쓴 비인가 접근이고,
시점은 2023년 8월부터 올해 9월 사이로 추정된다고 대한항공이 밝혔습니다.
이 글은 사건 이야기 대신 통지가 어떻게 왔고 못 받았으면 어떻게 하는지, 예약번호로 남이 무엇을 할 수 있는지,
그리고 배상을 누구에게 청구하게 되는지를 적어보려고 합니다.
(2026년 10월 24일 아침 기준입니다. 유출 항목과 인원은 아마데우스가 확인 중이라 바뀔 수 있습니다.)
1. 대한항공·아시아나 통지는 메일로만 왔고, 조회 페이지는 없습니다
두 항공사는 10월 23일 저녁 피해 고객에게 이메일로 안내했고, 내 정보가 포함됐는지 조회하는 페이지는 따로 없습니다.
그러니 확인은 메일함에서 합니다.
- 항공권을 예약할 때 적은 이메일 주소의 받은메일함을 봅니다
- 스팸함도 봅니다. 「개인정보 유출」이라는 제목은 스팸 필터에 자주 걸립니다
- 메일이 있으면 그게 통지입니다. 지우지 말고 둡니다
메일은 유출이 확인된 고객에게만 갔다고 경향신문이 전했습니다.
그러면 못 받은 사람은 대상이 아닐까요.
아직 그렇게 단정할 수 없습니다.
대한항공은 유출 항목과 규모를 아마데우스를 통해 확인 중이고,
추가로 확인되는 대로 다시 안내하겠다고 했으니까요.
그리고 예약을 여행사나 다른 앱에서 샀어도 대한항공·아시아나 항공편의 예약 기록은
같은 예약 시스템에 남습니다.
어디서 샀느냐가 아니라 어느 항공사 편을 탔느냐가 기준이라는 뜻입니다.
「개인정보 보호법」 제34조 제1항은 유출을 알게 되면 지체 없이 정보주체에게 통지하라고 정하고,
같은 법 시행령 제40조가 그 시한을 72시간 안으로 둡니다.
10월 20일 밤 통보, 23일 저녁 메일이니 그 안에 들어온 통지입니다.
2. 예약번호와 영문 이름이 합쳐지면 비회원 예약 조회가 열립니다
예약번호만으로는 아무것도 열리지 않지만, 탑승객 영문 이름과 합쳐지면 로그인 없이 예약 조회 화면이 열립니다.
여기가 중요합니다.
항공사 홈페이지의 비회원 예약 조회는 예약번호와 영문 이름을 넣는 방식입니다.
이름은 이번 유출 항목으로 확인되지 않았습니다.
다만 아마데우스가 예약과 함께 탑승자 성명을 보관한다는 것은 아래 4절의 처리방침에 적혀 있고,
이름은 다른 유출에서 이미 나가 있는 정보이기도 합니다.
그래서 예약번호가 나간 사람이 오늘 할 일은 하나입니다.
다가오는 항공편이 있다면 앱을 직접 열어 예약 상태를 봅니다.
- 날짜·노선·좌석이 내가 정한 대로인지
- 취소되거나 바뀐 것은 없는지
- 동행자 이름이 그대로인지
지난 여행의 예약번호는 조치가 없습니다. 이미 끝난 예약은 바꿀 것이 없으니까요.
마일리지와 결제 정보는 어떨까요.
두 항공사는 결제가 분리된 시스템이라 결제 정보는 유출 대상이 아니라고 설명했습니다.
마일리지는 스카이패스·아시아나클럽 로그인 뒤에 있어서 비밀번호가 따로 막고 있습니다.
그러니 이번 사고로 비밀번호가 나간 것은 아니지만,
그 비밀번호를 다른 사이트에도 쓰고 계시다면 항공사 쪽을 먼저 바꾸시면 됩니다.
바꾸고 나서 마일리지 사용 내역을 한 번 보세요.
3. 예약번호가 정확히 적힌 메일도 링크는 누르지 않습니다
내 예약번호가 정확히 적힌 「일정 변경」「환불」 메일이 와도, 확인은 앱을 직접 열어서 합니다.
대한항공 메일이 당부한 것도 이 셋입니다.
출처가 불분명한 링크 클릭, 첨부파일 다운로드, 개인정보 입력 요구에 응하지 말라는 것.
왜 이 당부가 평소보다 무거운지는 간단합니다.
지금까지 항공사 사칭 메일은 예약번호를 모르니 「고객님」으로 시작했습니다.
예약번호가 나간 뒤에는 「예약번호 ○○○○○○ 항공편이 변경됐습니다」로 시작할 수 있습니다.
번호가 맞으니 진짜로 보이고, 출발이 며칠 안 남았으면 누르게 됩니다.
그래서 메일·문자 안에 있는 것은 아무것도 쓰지 않습니다.
- 링크를 누르지 않습니다
- 거기 적힌 전화번호로 걸지 않습니다
- 첨부파일을 열지 않고, 앱을 깔라는 요구에 응하지 않습니다
- 확인은 항공사 앱을 직접 열거나 주소창에 주소를 직접 입력해서 합니다
전화로 「환불 처리를 위해 카드번호를 불러 달라」고 하면 그 자리에서 끊으시면 됩니다.
항공사는 전화로 카드번호·인증번호를 받지 않습니다.
이 기준은 항공사가 보낸 통지 메일에도 똑같이 적용됩니다.
진짜 통지라도 그 안의 링크로 들어갈 이유가 없고, 앱으로 보면 같은 것이 보이니까요.
📱 가상 예시입니다. 실제 발송된 메일을 옮긴 것이 아닙니다.
[○○항공] 예약번호 AB12CD 항공편 일정이 변경되었습니다. 24시간 안에 아래에서 확인하지 않으면 예약이 자동 취소됩니다.
hxxp://booking-change[.]example
4. 아마데우스가 갖고 있는 내 정보는 개인정보처리방침에 적혀 있습니다
유출 항목은 확인 중이지만, 아마데우스가 무엇을 보관하는지는 항공사 개인정보처리방침에 이미 적혀 있습니다.
아시아나항공이 2023년 11월 7일 공지한 처리방침 변경 안내를 보면,
아마데우스 IT 그룹은 예약 시스템 운영을 위해 개인정보를 이전받는 수탁자로 올라 있습니다.
| 구분 | 방침에 적힌 내용 |
|---|---|
| 이전 항목 | 아시아나클럽 회원번호 · 탑승자 성명 · 생년월일 · 성별 · 연락처 · 이메일 |
| 미국 출발·도착 항공권 | 여권정보 추가 |
| 이전 국가 · 기간 | 독일 · 이전 후 5년 보관 |
대한항공 방침도 같은 회사를 수탁자로 두고 있지만, 항목은 이 글에서 직접 대조하지 못했습니다.
이 표가 말하는 것은 둘입니다.
첫째, 「예약번호만 나갔다」는 지금까지의 확인이고, 보관된 항목은 이보다 많다는 것,
둘째, 미국 노선을 탔다면 여권정보가 같은 시스템에 있었다는 것.
그래서 대한항공이 예고한 추가 안내 메일이 오면 유출 항목을 꼭 읽으셔야 합니다.
이름·생년월일·연락처가 포함됐다고 적혀 있으면 3절의 사칭 연락이 전화로도 올 수 있다는 뜻이고,
여권번호가 포함됐다면 재발급을 생각하셔야 합니다.
(여권은 번호가 나갔다고 자동으로 정지되지 않습니다. 재발급은 본인이 신청하는 것이고, 유출 항목이 확정된 뒤에 판단하시면 됩니다.)
「개인정보 보호법」 제28조의8은 개인정보를 국외로 이전할 때 이전받는 자와 국가, 항목을 알리도록 정합니다.
이 표가 바로 그 고지이고, 그래서 사고가 나기 전부터 공개돼 있었습니다.
5. 배상은 아마데우스가 아니라 항공사에 청구하게 됩니다
해외 수탁사에서 새어 나갔어도, 손해배상 청구 상대는 그 회사에 처리를 맡긴 대한항공과 아시아나입니다.
「개인정보 보호법」 제26조는 수탁자가 위탁받은 일을 하다가 법을 어겨 생긴 손해배상 책임에서
수탁자를 위탁한 회사의 소속 직원으로 봅니다.
독일에 있는 회사를 상대로 소송할 필요가 없다는 뜻입니다.
제39조의2는 손해액을 증명하지 않아도 300만 원 이하에서 법원이 배상액을 정하는 법정손해배상을 두고 있습니다.
다만 지금은 청구할 때가 아닙니다.
유출 항목·인원·항공사의 과실이 하나도 확정되지 않은 단계니까요.
지금 할 일은 서류를 남기는 것까지입니다.
- 10월 23일 통지 메일 — 지우지 않습니다
- 추가 안내 메일 — 유출 항목이 적혀 올 겁니다. 같이 둡니다
- 예약번호가 적힌 사칭 메일·문자·전화 — 캡처합니다. 2차 피해의 근거가 됩니다
개인정보보호위원회나 경찰의 조사 착수는 10월 24일 아침 기준 보도로 확인되지 않았습니다.
개인이 따로 신고할 것은 없고, 사칭 연락으로 실제 피해가 생겼을 때 112와 118에 신고하시면 됩니다.
자주 묻는 것
Q. 여행사에서 샀는데 통지 메일이 안 왔습니다. 대상이 아닌가요?
단정할 수 없습니다. 항공사 통지는 항공사가 갖고 있는 이메일로 가는데, 여행사 예약은 항공사에 내 이메일이 안 넘어갔거나 여행사 주소로 돼 있는 경우가 있습니다. 예약 기록 자체는 같은 시스템에 있으니, 통지가 없어도 위에 2절의 예약 확인과 3절의 기준은 그대로 적용하시면 됩니다.
Q. 예약번호를 바꿔 달라고 하면 되나요?
예약번호는 발권된 예약에 붙는 번호라 비밀번호처럼 바꾸는 항목이 아닙니다. 그래서 바꾸는 대신 2절처럼 예약 상태를 직접 확인하는 것이 조치입니다. 출발까지 여유가 있고 불안하면 고객센터에 사정을 말하고 재발권 가능 여부를 물으실 수는 있는데, 수수료가 붙을 수 있어 일반적인 권고는 아닙니다.
Q. 아시아나 예약이 대한항공으로 넘어간다는 공지를 받았는데, 그것 때문인가요?
다른 일입니다. 아시아나가 2026년 8월에 공지한 것은 두 회사 통합에 따라 예약 정보를 대한항공으로 옮긴다는 안내이고, 이번 유출은 두 회사가 함께 쓰는 아마데우스 시스템에서 난 것입니다. 통합 이관 공지를 사칭한 메일이 나올 수 있는 시기라 3절의 기준을 그대로 적용하세요.
Q. 2023년 8월 이전에만 탔습니다. 그러면 괜찮나요?
추정 기간이 2023년 8월부터 올해 9월이니 그 밖의 예약은 지금 기준으로 대상이 아닙니다. 다만 아시아나 방침대로라면 예약 정보는 이전 후 5년 보관되니, 그 기간에 다른 예약이 하나라도 있었다면 메일함을 보시는 게 맞습니다.
마무리
글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.
예약번호가 정확히 적힌 메일이라도, 확인은 앱을 직접 열어서 합니다.
이미 메일 속 링크를 누르고 카드번호나 인증번호를 넣었다면, 카드사에 바로 정지를 요청하고 112에 신고하세요.
근거 자료
- 대한항공 고객 안내 메일(2026.10.23 저녁 발송) — 「아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근」 · 「현재까지 2차 피해 사례 확인되지 않음」 · 「출처가 불분명한 링크 클릭·첨부파일 다운로드·개인정보 입력 요구에 응하지 말 것」 · 추가 확인 시 재안내. 연합뉴스·머니투데이·서울신문·경향신문 2026.10.23 보도로 인용. 메일 전문은 직접 보지 못함
- 전자신문·한국일보·헤럴드경제·파이낸셜뉴스(2026.10.23) — 10.20 22:44 통보 · 유출 추정 기간 2023.8~2026.9 · 확인된 항목 예약번호 · 결제정보 제외 · 두 항공사 자체 시스템 침해 정황 없음 · 아마데우스 비인가 접근 차단·다크웹 모니터링
- 아시아나항공 「웹사이트 개인정보처리방침 변경 안내」(2023.11.7 공지) — 아마데우스 IT Group, S.A. 국외 이전 항목(회원번호·성명·생년월일·성별·연락처·이메일, 미국 노선 여권정보) · 독일 · 이전 후 5년 보관
- 아시아나항공 「통합에 따른 항공 편명 변경 및 항공권 예약정보 이관 안내」(2026.8 공지)
- 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한) · 제28조의8(개인정보의 국외 이전) · 제34조(유출 등의 통지·신고) · 제39조의2(법정손해배상) · 같은 법 시행령 제40조(통지 시한 72시간)
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액은 사안마다 다르니 변호사·대한법률구조공단(132) 또는 개인정보침해 신고센터(118)에 확인하세요.
⚠️ 조사가 진행 중입니다. 유출 항목·인원·원인·책임 범위는 확정되지 않았습니다. 이 글은 두 항공사나 아마데우스의 책임을 단정하지 않으며, 사실관계는 두 항공사의 설명을 보도로 받은 것입니다.
⚠️ 본문의 메일 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 메일이 아니며, 예약번호와 도메인은 예시용입니다.
#보안로그 #생활보안 #개인정보유출 #대한항공 #아시아나항공 #대한항공개인정보유출 #아마데우스 #예약번호유출 #항공사사칭메일 #스미싱 #피싱메일 #유출통지 #법정손해배상 #개인정보보호법 #정보보안
댓글
댓글 쓰기