아시아나항공도 개인정보 유출 영향을 받았나요?

대한항공과 아시아나항공이 쓰는 예약·발권 IT 시스템 운영사 아마데우스에서 비인가 접근이 있었고, 고객 예약번호가 유출된 것으로 확인됐다고 두 항공사가 밝혔습니다(2026년 10월 23일 보도). 결제 정보는 포함되지 않았다고 설명했고, 유출 규모와 다른 항목은 아직 조사 중입니다. 지금 할 일: ① 항공사 공식 홈페이지·앱에서 공지를 직접 확인 ② 항공사를 사칭한 문자·이메일의 링크 클릭·첨부파일 열기·개인정보 입력 금지 ③ 공식 앱에서 내 예약이 그대로인지 확인 ④ 이상한 변경·취소·결제 요구가 있으면 공식 고객센터에 직접 문의.

이메일의 링크를 누르지 말고, 항공사 공식 홈페이지·앱에 직접 접속해 같은 공지가 있는지 확인하세요. 대한항공은 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보를 요구하는 연락에 응하지 말라고 당부했습니다. 유출 안내를 핑계로 카드번호·여권번호·비밀번호를 입력하라고 하면 사칭을 의심하세요.

아직 확인되지 않았습니다. 두 항공사가 확인했다고 밝힌 유출 항목은 예약번호(아시아나는 "예약 관련 정보")이고, 결제 정보는 포함되지 않았다고 했습니다. 이름·연락처·여권번호 등 다른 항목과 전체 규모는 아마데우스가 조사 중이라고 보도됐습니다.

보도에 따르면 대한항공은 10월 23일 저녁 대상 고객에게 이메일로 알렸습니다. 별도의 "유출 여부 조회" 서비스가 있는지는 확인되지 않았으니, 항공사 공식 홈페이지·앱 공지와 회원 계정에 등록된 이메일을 확인하세요. 개인정보 보호법은 유출을 알게 된 개인정보처리자가 지체 없이 정보주체에게 항목·시점·경위 등을 알리도록 정합니다.

법은 길을 열어 두고 있지만 이번 사고의 배상 여부는 정해지지 않았습니다. 개인정보 보호법상 법 위반으로 손해를 입으면 손해배상을 청구할 수 있고 회사가 과실이 없음을 입증해야 하며, 고의·과실로 유출된 경우 손해 증명 없이 300만원 이하의 법정손해배상을 청구하는 방법도 있습니다. 항공사가 별도 보상을 발표했는지는 확인되지 않았습니다.

최종 판단은 계약관계와 조사 결과에 따라야 하지만, 개인정보 보호법 구조상 항공사가 "운영사 관리 영역"이라고만 할 수는 없습니다. 업무를 위탁한 개인정보처리자는 수탁자를 교육·감독해야 하고, 수탁자가 위탁 업무 중 법을 위반해 생긴 손해배상책임에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 다만 아마데우스와의 관계가 법상 처리위탁인지, 국외 이전 요건을 어떻게 갖췄는지는 공개되지 않았습니다.

개인정보 보호법은 유출을 알게 되면 지체 없이 ① 유출 항목 ② 시점과 경위 ③ 피해를 줄이기 위해 할 수 있는 방법 ④ 회사의 대응과 피해 구제 절차 ⑤ 신고 접수 부서·연락처 ⑥ 손해배상·분쟁조정 등 법적 권리와 행사 방법을 알리도록 정합니다. 받은 안내에 이 내용이 빠져 있으면 공식 고객센터에 요청할 수 있습니다.

사유를 증명할 책임은 항공사에 있습니다. 소비자분쟁해결기준은 항공사가 기상사정·공항사정 등을 "증명한 경우" 배상에서 제외하고, 항공사업법 제61조도 항공사가 불가항력 피해임을 증명하고 보호기준을 지켰을 때만 피해구제 의무에서 벗어난다고 정합니다. 그러니 "기상 악화"라는 말만으로 끝내지 말고 사유와 근거를 서면으로 요청할 수 있습니다. 기준표의 "기상사정"은 항공기가 운행할 수 없는 악천후 등의 기상상태를 말합니다.