통합 대한항공, 이륙 전 고객정보 보호 '시험대'

통합 항공사 출범을 앞둔 대한항공과 아시아나항공에 고객정보 유출 사고가 발생하면서 보안 관리에 대한 우려가 커지고 있다. 다음 달부터 대규모 예약정보 이관이 예정된 가운데 개인정보 보호 체계에 대한 면밀한 점검이 요구된다. 개인정보 유출은 항공사의 신뢰도와도 직결되는 만큼 외부 협력사를 포함한 보안 관리 전반을 강화해야 한다는 지적이 나온다.

26일 항공업계에 따르면 대한항공은 지난 20일 글로벌 항공 IT 기업 아마데우스로부터 고객정보 유출 정황을 통보받았다. 아시아나항공도 같은 업체에서 정보가 유출된 사실을 확인했다. 아마데우스는 항공사와 호텔, 여행사 등에 예약·발권 시스템을 제공하는 업체로, 양사 모두 해당 시스템을 이용하고 있다.

이번 사고는 아마데우스 시스템의 계정 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 조사됐다. 유출 시점은 2023년 8월부터 올해 9월 사이로 추정된다. 유출 정보에는 예약번호가 포함됐지만, 결제 정보는 포함되지 않은 것으로 알려졌다. 양사 자체 시스템과 데이터베이스에서는 침해 정황이 발견되지 않았다. 이 밖에 다른 개인정보가 유출됐는지는 추가 조사를 진행 중이다.

항공사는 예약·발권 과정에서 여권번호와 연락처, 여행 일정 등 고객의 신원과 이동에 관한 정보를 취급한다. 해당 정보가 유출되면 여행 동선이 노출되거나 피싱·스미싱 등 2차 피해로 이어질 수 있다. 현재까지 확인된 유출 항목은 예약번호뿐이지만, 다른 개인정보의 유출 여부도 조사 중이어서 추가 피해 가능성이 있다. 대한항공은 고객들에게 출처가 불분명한 링크나 첨부파일을 열지 말고 개인정보 입력 요구에도 응하지 말 것을 당부했다.

양사의 개인정보 유출 사고는 이번이 처음이 아니다. 지난해 12월 대한항공은 기내식 협력사 해킹으로 임직원 정보 3만여 건이 유출됐다. 같은 달 아시아나항공도 사내 전산망 침해로 임직원과 협력사 직원 1만여 명의 개인정보가 유출되는 사고를 겪었다.

반복된 보안 문제는 오는 12월17일 통합 항공사 출범을 앞둔 양사에 부담이 되고 있다. 다음 달 2일부터 아시아나항공의 예약정보를 대한항공으로 순차 이관할 예정이어서 고객정보 보호의 중요성도 커지고 있다. 개인정보 유출은 항공사에 대한 고객 신뢰와 직결되는 만큼 통합 과정 전반에 걸친 보안체계 점검이 필요하다는 지적이 나온다.

대규모 정보 이전 과정에서 유출이나 무단 접근을 방지하고, 이관 후 기존 정보의 보관·파기 기준을 명확히 하는 것이 과제로 꼽힌다. 이번 사고가 외부 IT 협력사에서 발생했다는 점에서 수탁업체에 대한 관리·감독 강화도 요구된다. 대한항공과 아시아나항공은 추가 피해와 재발 방지를 위한 보안 조치를 강화하겠다는 방침이다.

대한항공 관계자는 "이번 상황을 엄중하게 인식하고 있으며 추가 피해와 재발 방지에 총력을 기울일 계획"이라며 "수탁사에 대한 철저한 실태 점검을 실시해 고객정보 보호 조치를 한층 강화하겠다"고 말했다.

아시아나항공 관계자도 "사내 데이터베이스에 대한 직접적인 침해 정황은 없지만 보안 강화 조치를 실시하고 있다"며 "추가 피해와 재발 방지를 위해 고객 개인정보 보호에 필요한 모든 노력을 기울이겠다"고 했다.