예약번호 유출, 지금 해야 할 3가지
대한항공과 아시아나항공이 협력사 아마데우스 해킹으로 예약번호 등 예약 정보가 유출됐다고 밝혔으며, 카드·결제 정보는 포함되지 않은 것으로 파악된다. 예약번호는 승객 이름과 함께 쓰이면 예약 조회의 열쇠가 돼, 유출 자체보다 이를 미끼로 한 피싱 등 2차 피해가 더 현실적인 위협이다. 공식 앱·홈페이지로 예약을 직접 확인하고 사칭 연락을 의심하며 계정 비밀번호와 등록 연락처를 점검하는 순서로 대응하면 된다.
무엇이 유출됐고, 무엇은 안 됐나
대한항공과 아시아나항공이 10월 23일 고객 개인정보 유출 사실을 알렸다. 자사 데이터베이스가 직접 뚫린 것은 아니다. 두 항공사가 함께 쓰는 글로벌 항공 IT 운영사이자 수탁사인 '아마데우스'의 시스템이 공격받았다. 대한항공은 20일 밤 아마데우스로부터 유출 정황을 통보받았다고 밝혔고, 원인은 아마데우스 시스템 계정의 로그인 인증정보를 악용한 비인가 접근으로 전해졌다.
지금까지 확인된 유출 항목은 '예약번호' 등 예약 관련 정보다. 반대로 카드·결제 같은 금융 정보는 포함되지 않은 것으로 파악된다. 두 항공사는 결제가 분리된 별도 시스템에서 처리된다고 설명했다. 유출 추정 기간은 2023년 8월부터 2026년 9월 사이로, 정확한 시점과 전체 규모는 아직 조사 중이다. 즉 '결제카드가 털렸다'고 볼 단계는 아니지만, '내 예약 정보가 남의 손에 있을 수 있다'고 전제하는 편이 안전하다.
'예약번호'가 노출되면 생기는 일
RDNE Stock project
예약번호(PNR)는 흔히 대수롭지 않게 여겨진다. 하지만 보안 전문가들은 오래전부터 이를 '사실상 공개된 비밀번호'에 가깝다고 지적해 왔다. 많은 항공사 사이트에서 예약번호와 승객 이름만 있으면 일정과 연락처 같은 예약 내역을 조회할 수 있기 때문이다.
진짜 문제는 이 정보가 '그럴듯한 거짓말'의 재료가 된다는 점이다. 공격자가 내 이름과 실제 항공편, 날짜를 알고 접근하면 아무 근거 없이 뿌리는 스팸보다 훨씬 속기 쉽다. "○○님, 10월 예약 건에 결제 오류가 있어 확인이 필요합니다" 같은 문자가 대표적이다. 유출 그 자체보다, 유출된 정보를 미끼로 삼는 2차 피해(피싱)가 더 현실적인 위협인 이유다. 실제로 두 항공사도 결제 정보보다 '피싱 주의'를 먼저 당부했다.
지금 순서대로 할 일
당장 할 일은 세 가지다.
먼저 예약을 확인한다. 항공사 공식 앱이나 홈페이지에 직접 접속해 예정된 여정이 그대로인지, 임의로 변경되거나 취소된 내역은 없는지 본다. 이때 문자나 메일에 담긴 링크를 누르지 말고 주소를 직접 입력하거나 앱으로 들어가는 것이 핵심이다.
다음은 피싱 대응이다. 항공사·여행사·카드사를 사칭해 예약번호, 생년월일, 카드번호, 인증번호를 묻는 연락은 일단 의심한다. 특히 결제 오류, 환불, 마일리지 소멸처럼 급하게 클릭을 유도하는 문구는 전형적인 수법이다. 확인이 필요하면 공식 고객센터 번호로 직접 전화해 되묻는 것이 안전하다.
마지막은 계정과 연락처 점검이다. 항공사 계정 비밀번호를 바꾸고, 다른 사이트와 같은 비밀번호를 쓰고 있었다면 그곳도 함께 바꾼다. 가능하면 2단계 인증을 켜 둔다. 계정에 등록된 이메일과 휴대폰 번호가 본인 것이 맞는지, 모르는 연락처로 바뀌어 있지 않은지도 확인한다.
사칭은 더 정교해진다
한 가지 더 염두에 둘 것이 있다. 최근 법률신문에 실린 한 보안 칼럼은 AI 때문에 공격의 '비용과 속도'가 크게 낮아졌다고 짚었다. 카스퍼스키 자료를 인용해, 몇 년 전만 해도 1분당 수백에서 수만 달러이던 가짜 영상 제작 비용이 지금은 건당 50달러 수준까지 떨어졌다고 했다.
영상과 음성까지 싸게 위조되는 환경이라면, 문자나 메일 사칭도 과거보다 자연스럽고 정교해지기 쉽다고 봐야 한다. 그렇다면 '발신자 이름이 항공사니까 믿는다'는 판단은 더 이상 안전하지 않다. 유출 통보를 가장한 메일조차 가짜일 수 있으니, 어떤 안내를 받든 공식 앱·홈페이지·고객센터로 한 번 더 교차 확인하는 습관이 지금으로선 가장 확실한 방어다.