대한항공과 아시아나항공이 10월 23일 저녁 고객들에게 예약 관련 개인정보 유출 사실을 알렸다. 한국을 오가는 항공편을 이용한 독자라면 항공사 안내를 확인하되, 이번 사고를 빌미로 개인정보 입력을 요구하는 연락에도 주의할 필요가 있다. 현재까지 공개된 정보만으로 모든 고객이 피해를 입었다거나, 유출 규모가 확정됐다고 판단할 수는 없다.
뉴시스·경향신문·한국경제가 전한 양사 설명에 따르면 사고는 두 항공사의 외부 정보기술 수탁사인 아마데우스 IT 그룹 시스템에서 발생했다. 항공사들은 20일 밤 아마데우스로부터 유출 정황을 통보받았으며, 23일 저녁 고객 통지와 관련 설명이 공개됐다. 따라서 이번 보도의 새로운 전개는 고객에게 사고를 알렸다는 점이다. 해킹이 23일 발생했다는 뜻은 아니며, 정확한 침해 시점은 아직 조사 대상이다.
확인된 유출 항목에는 항공권 예약번호가 포함돼 있다. 다른 개인정보가 얼마나 포함됐는지, 영향을 받은 고객이 몇 명인지는 아마데우스의 추가 조사가 필요한 상황이다. 아시아나항공은 예약 관련 정보가 유출됐지만 결제 관련 정보는 포함되지 않았다고 설명했다. 이를 모든 정보가 안전하다는 결론이나 두 회사의 모든 고객에게 동일한 범위의 피해가 있었다는 의미로 확대해서는 안 된다.
두 항공사는 자체 시스템과 내부 데이터베이스가 직접 침해된 정황은 발견되지 않았다고 밝혔다. 외부 업체에서 정보가 유출됐다는 설명과 항공사 내부 시스템에 침해 흔적이 없다는 설명은 구분해서 봐야 한다. 후자의 설명만으로 고객 정보 유출 자체가 없었다고 이해할 수는 없다. 반대로 외부 시스템에서 발생한 사고를 항공사 전체 전산망이 해킹됐다고 단정할 근거도 현재 공개 자료에는 없다.
보도에 따르면 이번 사고에는 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근이 관련돼 있다. 다만 누구의 어떤 인증정보가 어떻게 사용됐는지에 관한 상세 조사 결과는 공개되지 않았다. 공격자의 신원이나 구체적인 침입 경로를 확정적으로 설명할 단계는 아니다. 미국 거주 고객의 피해 규모도 확인되지 않아, 한인 이용자 전체를 피해자로 표현할 수 없다.
항공사들은 통보를 받은 뒤 필요한 보안 조치를 시행하고 아마데우스에 추가 보호 조치와 재발 방지 대책을 요구했다고 밝혔다. 아마데우스는 비인가 접근 차단과 다크웹 모니터링을 진행 중인 것으로 보도됐다. 대한항공은 다른 수탁사에 대한 실태 점검을 통해 고객 정보 보호를 강화하겠다는 방침도 내놨다. 이는 대응 계획에 관한 회사 설명이며, 사고 원인 규명이나 모든 후속 조치가 끝났다는 발표는 아니다.
경향신문이 전한 대한항공 고객 이메일에는 현재까지 이번 사고에 따른 2차 피해 사례는 확인되지 않았다는 설명이 담겼다. 동시에 출처가 분명하지 않은 링크를 누르거나 첨부파일을 내려받고, 개인정보 입력 요구에 응하지 않도록 주의해 달라는 당부가 포함됐다. 피해 확인을 돕는다는 명목의 연락이라도 발신자와 접속 경로를 신중하게 확인할 필요가 있다.
양사는 추가 유출 내역이 파악되는 대로 고객에게 다시 안내할 계획이다. 독자가 앞으로 확인해야 할 핵심은 자신의 정보가 해당되는지, 어떤 항목이 유출됐는지, 추가 조치가 필요한지에 관한 항공사의 구체적인 통지다. 이번에 확인한 자료에는 항공편 취소나 운항 장애가 발생했다는 내용이 없어, 정보 유출 사고를 항공 운항 중단으로 연결해서는 안 된다.
출처
- 대한항공·아시아나항공 고객 개인정보 유출 — 경향신문
- 대한항공·아시아나서 개인정보 유출…IT 협력사 해킹 피해 — 뉴시스
- 대한항공·아시아나도 뚫렸다…시스템 운영사서 개인정보 유출 — 한국경제
