금융권에 이어 항공업계에서도 개인정보 유출 사고가 발생하면서 기업들의 보안 관리 체계에 대한 우려가 커지고 있다. /인천국제공항=김성렬 기자 (현장풀)

[더팩트ㅣ황지향 기자] 최근 금융권에서 해킹에 따른 개인정보 유출 사고가 잇따른 데 이어 항공업계에서도 고객정보 유출 사고가 발생했다. 대한항공과 아시아나항공의 예약·발권 시스템을 운영하는 외부 업체가 해킹을 당해 일부 고객정보가 유출됐다. 기업 자체 시스템뿐 아니라 외부 협력업체의 보안 관리 중요성이 커지고 있다.

26일 업계에 따르면 대한항공과 아시아나항공은 지난 20일 글로벌 항공 정보기술(IT) 시스템 운영사 아마데우스 IT 그룹으로부터 고객 개인정보 유출 정황을 통보받았다.

아마데우스는 항공사와 여행사, 호텔 등에 예약·발권 관련 IT 서비스를 제공하는 글로벌 기업이다. 대한항공과 아시아나항공도 관련 시스템을 이용하고 있다.

사고는 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근으로 발생한 것으로 파악됐다. 침해 발생 시점은 2023년 8월부터 올해 9월 사이로 추정되며 정확한 경위와 피해 규모는 조사 중이다.

유출된 정보에는 일부 고객의 예약번호 등이 포함됐다. 다만 카드번호 등 결제정보는 유출되지 않았으며 두 항공사의 자체 데이터베이스(DB)와 전산망에 대한 직접적인 침해 정황도 확인되지 않았다.

대한항공은 사고를 인지한 직후 개인정보보호위원회에 신고하고 피해 고객에게 이메일로 관련 사실을 안내했다. 아마데우스로부터 비인가 접근 차단과 다크웹 모니터링 등 보안 조치를 진행 중이라는 보고를 받았으며 추가 보호조치와 재발 방지 대책 마련을 요구했다.

대한항공 B777-300ER 항공기. /대한항공

앞서 금융권에서는 인공지능(AI)을 활용한 해킹 공격으로 개인정보 유출 사고가 잇따랐다. 금융위원회·금융감독원은 지난 14일 금융회사 16곳에서 침해사고가 확인됐으며 약 10만건의 개인정보가 유출됐다고 발표했다. 이 가운데 일부 금융회사를 대상으로 동일 공격자가 AI 도구를 활용해 공격한 정황이 발견됐다.

금융권과 항공업계에서 발생한 사고는 침해 경로에 차이가 있다. 금융권에서는 금융회사를 대상으로 한 해킹 공격이 확인된 반면 대한항공과 아시아나항공은 외부 IT 수탁업체의 시스템에서 고객정보가 유출됐다.

항공업계는 예약과 발권, 운항 관리 등 다양한 업무에 외부 IT 시스템을 활용하고 있다. 여러 항공사가 동일한 서비스 제공업체의 시스템을 이용하는 만큼 해당 업체에서 보안 사고가 발생하면 복수의 항공사와 고객에게 영향을 미칠 수 있다.

항공사 자체 전산망에 대한 침해가 없더라도 외부 업체의 보안 수준에 따라 고객정보가 유출될 수 있다는 점에서 수탁업체 관리의 중요성이 부각된다. 외부 업체의 계정 접근 권한과 인증정보 관리, 이상 접속 탐지 체계 등을 지속적으로 점검할 필요가 있다는 지적이다.

개인정보 유출에 따른 2차 피해 가능성도 주의해야 할 부분이다. 예약번호 등 유출된 정보가 다른 개인정보와 결합되거나 항공사와 여행사를 사칭한 피싱에 악용될 가능성을 배제할 수 없기 때문이다. 다만 현재까지 이번 사고와 관련한 2차 피해 사례는 확인되지 않았다.

대한항공은 수탁업체에 대한 보안 관리 실태를 점검하고 고객정보 보호 조치를 강화할 방침이다.

대한항공 관계자는 "이번 사고는 아마데우스의 관리 영역에서 발생했지만 상황을 엄중하게 인식하고 있다"며 "추가 피해와 재발 방지를 위해 총력을 기울이겠다"고 말했다.

hyang@tf.co.kr