대한항공(003490)과 아시아나항공(020560)의 예약·발권 시스템 운영사인 아마데우스에서 고객 정보가 유출되면서 피해 범위가 어디까지 확대될지 우려가 커지고 있다. 현재까지 확인된 유출 정보에는 일부 고객의 예약 번호가 포함돼 있지만, 다른 개인정보가 함께 유출됐는지는 조사 중이다.

특히 무단 접근이 발생한 시점을 2023년 8월부터 올해 9월 사이로만 추정할 뿐 정확한 침해 시점과 지속 기간을 파악하지 못하고 있어 보안 관리 체계에 대한 의문도 제기된다. 항공사들은 예약번호만으로 추가 피해가 발생할 가능성은 작다는 입장이지만, 사고 원인과 전체 유출 범위가 확인되기 전까지는 안심하기 어렵다는 지적이 나온다.

27일 업계에 따르면 대한항공·아시아나항공 협력사 해킹에 따른 고객 피해 우려가 확산하고 있다. 앞서 지난 23일 대한항공과 아시아나항공은 협력사인 글로벌 항공 IT 시스템 운영사 '아마데우스' 시스템에서 일부 고객의 개인정보가 유출된 정황이 파악됐다고 밝혔다.

현재까지 확인된 유출 항목은 일부 고객의 예약 번호다. 이번 사고는 아마데우스 시스템 계정에 부여된 로그인 인증 정보를 이용한 비인가 접근으로 발생했다. 발생 시점은 2023년 8월에서 2026년 9월 사이로 추정되며 정확한 시점은 조사 중이다.

대한항공은 예약 번호만으로는 추가 피해가 발생할 가능성이 작다는 입장이다. 대한항공 관계자는 "추가 유출 항목은 아직 확인되지 않고 있다"며 "예약 번호만으로는 (예약)조회도 할 수 없다"고 설명했다.

대한항공·아시아나항공은 현재 아마데우스를 통해 추가 유출 항목을 확인하고 있다. 그러나 추가 유출 가능성을 배제할 수 없어 안심하기 이르다는 지적이 나온다.

업계 한 관계자는 "사고 추정 시점이 2023년 8월부터 2026년 9월까지여서 특정 시점에 일어난 일인지, 일정 기간 이어진 일인지 가늠하기 어렵다"고 말했다.

이어 "일정 기간 이어졌다면 상당한 정보가 유출됐을 수 있는데, 결제 정보 같은 민감한 정보까지 유출됐다면 신원 도용 등의 피해로 이어질 수 있어 철저한 조사가 필요하다"고 덧붙였다.

예약 번호는 여섯 자리 안팎의 코드로, 탑승객 이름과 출발일을 함께 입력하면 예약 사항을 조회할 수 있다. 대한항공의 경우 이들 정보를 이용해 전체 여정과 일부가 가려진 전화번호·이메일 주소를 확인할 수 있다.

현재까지 이번 사고로 인한 2차 피해 사례는 확인되지 않았다. 대한항공은 출처가 불분명한 링크를 클릭하거나 첨부파일을 내려받지 말고, 개인정보 입력 요구에도 응하지 말라고 당부했다.

아마데우스를 전 세계 항공사의 절반가량이 이용하는 것으로 알려진 만큼 추가 피해 사례가 나올 수 있다는 관측도 나온다. 국내에서는 대한항공·아시아나항공 외에 제주항공·이스타항공·에어프레미아가 아마데우스 자회사의 예약·발권 시스템을 쓰고 있다.

이들 항공사에서는 아직 해킹 피해가 확인되지 않았다. 이스타항공은 "아마데우스 자회사 예약·발권 시스템을 이용하고 있다"면서도 "현재까지 피해가 보고된 건 없다"고 설명했다.

hwshin@news1.kr