대한항공 개인정보 유출 예약번호 범위와 통지 대상

대한항공 개인정보 유출에서 확인된 항목은 일부 고객의 예약번호다. 추가 유출 항목은 조사 중이다. 확인된 대상자에게는 이메일로 안내했다. 메일을 받지 않았다는 이유만으로 비유출을 확정할 수는 없다.

시점 정보는 대한항공 사고 공지와 2026년 10월 23일 뉴시스 보도를 기준으로 한다.

예약번호 유출은 어디까지 확인됐나

대한항공은 일부 고객의 예약번호가 유출 항목에 포함됐다고 밝혔다. 전체 고객의 정보가 유출됐다는 발표는 아니다. 예약번호 외 항목은 Amadeus IT Group을 통해 확인 중이다.

예약번호는 예약을 구분하는 식별정보다. 예약번호 유출과 예약기록 전체의 유출은 같은 뜻이 아니다. 이름이나 여권번호까지 유출됐다고 판단하려면 추가 확인이 필요하다.

뉴시스 보도는 아시아나항공도 같은 업체의 사고를 확인했다고 전했다. 그러나 두 항공사의 대상자가 같다는 뜻은 아니다. 개인별 유출 범위는 각 항공사의 통지 내용으로 구분해야 한다.

×

대한항공은 일부 고객의 예약번호 유출을 확인했으며, 추가 유출 항목은 조사 중이다.

사고 발생일과 통보일은 어떻게 다른가

사고가 발생한 것으로 추정되는 기간과 대한항공이 이를 안 날은 다르다. 보도된 날짜도 별개의 시점이다. 대한항공 공지 자체에는 게시일이 표시되지 않는다.

추정 침해기간은 그 기간 내내 유출이 이어졌다는 뜻이 아니다. 그 사이에 탑승한 모든 고객이 대상이라는 의미도 아니다. 정확한 발생 시점은 조사 중이다.

수탁사 침해와 대한항공 자체 시스템 침해의 차이

공지가 설명한 접근 경로는 수탁사 시스템 계정의 인증정보다. 수탁사는 다른 회사의 업무를 맡아 처리하는 업체를 뜻한다. Amadeus는 항공권 예약·발권 관련 업무를 맡는 업체다.

대한항공 사고 공지는 접근 방식을 다음 표현으로 설명한다.

아마데우스의 시스템 계정에 부여된 로그인 인증정보를 이용한 비인가 접근

인용 문서는 대한항공의 「일부 고객 개인정보(예약번호) 유출 안내」다.

대한항공은 자체 시스템과 데이터베이스의 침해 정황은 없다고 밝혔다. 이는 외부 수탁사에서 고객 정보가 유출됐다는 설명과 양립한다. 고객의 대한항공 계정 비밀번호가 탈취됐다는 발표로도 읽을 수 없다.

대한항공은 사고 인지 후 신고 등 안전조치를 했다고 밝혔다. Amadeus에서는 비인가 접근 차단과 다크웹 모니터링을 진행 중이라고 전했다. 대한항공은 추가 보호조치와 재발 방지 대책도 요구했다.

이메일 수신 여부에 따른 조건별 정리

대한항공은 현재까지 확인된 개인정보 유출 대상 고객에게 통지했다. 이메일 수신 여부만으로 전체 조사 결과를 판단할 수는 없다. 추가 항목이 확인되면 대상 고객에게 다시 알린다는 방침이다.

공식 공지에는 별도의 개인별 유출 조회 서비스가 제시돼 있지 않다. 일반 예약조회 기능도 유출 대상 확인 서비스로 볼 수 없다. 본인 관련 내용은 개별 통지와 공식 연락 창구를 통해 확인해야 한다.

개인정보 처리방침과 사고 공지의 비교

개인정보 처리방침에 적힌 항목이 모두 유출된 것은 아니다. 처리방침은 평소 어떤 정보를 어떤 목적으로 처리하는지 설명한다. 사고 공지는 특정 사건에서 확인한 침해 범위를 설명하는 문서다.

대한항공 개인정보 처리방침은 예약번호 등을 수집 항목으로 제시한다. 또한 Amadeus를 예약·발권 관련 수탁업체로 명시한다. 이 기재만으로 이번 사고의 유출 범위를 넓힐 수는 없다.

처리방침의 전체 목록을 사고의 유출 목록으로 옮기는 것은 잘못된 해석이다. 반대로 사고 공지에 없는 항목을 모두 안전하다고 단정해서도 안 된다. 조사 중인 항목은 확인된 항목과 별도로 남겨야 한다.

공식 안내를 읽을 때 흔한 실수

서로 다른 범위의 설명을 하나의 결론으로 합치는 오류를 피해야 한다. 특히 일부 고객에 대한 확인을 전체 고객에게 적용하면 안 된다. 조사 중이라는 표현도 유출 여부가 확정됐다는 뜻은 아니다.

×

통지 이메일을 받지 않았다는 사실만으로 개인정보가 유출되지 않았다고 확정할 수 없다.

의심스러운 연락과 피해 연락 창구

대한항공 개인정보 유출 안내는 출처가 불분명한 연락에 주의하도록 권고한다. 공지에는 당시 확인된 2차 피해 사례가 없다고 적혀 있다. 이는 앞으로도 피해가 발생하지 않는다는 보장은 아니다.

• 출처가 불분명한 링크를 클릭하지 않아야 한다.
• 출처를 알 수 없는 첨부파일은 내려받지 않아야 한다.
• 불명확한 연락에서 개인정보 입력을 요구하면 응하지 않아야 한다.

공지에서 안내한 피해 연락 창구는 대한항공 여객사업본부다. 전화번호는 1588-2001이다. 이메일 주소는 [email protected]이다.

이 글의 핵심 질문

예약번호만 유출된 것으로 확정됐나

예약번호가 포함됐다는 사실이 확인됐다. 예약번호만 유출됐다고 최종 확정한 것은 아니다. 다른 항목은 조사 중이다.

2023년부터 2026년까지 이용한 고객은 모두 대상인가

이용 기간만으로 대상을 정할 수 없다. 공지가 제시한 기간은 사고 발생을 추정하는 범위다. 모든 이용객의 정보가 유출됐다는 발표는 없다.

대한항공 회원 비밀번호도 유출됐나

공지는 고객 회원 비밀번호의 유출을 확인했다고 밝히지 않았다. 사고 경위에 등장하는 인증정보는 Amadeus 시스템 계정에 관한 설명이다. 두 계정을 같은 것으로 해석하면 안 된다.

보도와 공식 공지의 설명이 다르면 무엇을 확인해야 하나

먼저 각 문서가 어떤 항목을 확정했는지 구분해야 한다. 보도의 결제정보 설명과 공지의 추가 항목 조사를 구별할 필요가 있다. 본인에게 적용되는 내용은 개별 통지와 후속 공지에서 확인해야 한다.