대한항공 고객정보가 유출됐나요?

네. 아시아나항공은 같은 아마데우스 시스템 정보 유출로 예약 관련 정보가 유출된 것을 확인했다고 밝혔고, 결제 관련 정보는 포함되지 않았다고 설명했습니다. 자체 내부 DB가 직접 침해된 정황은 없다고 했습니다. 영향받은 고객 수와 고객 통지 방법은 보도에서 확인되지 않았습니다.

이메일의 링크를 누르지 말고, 항공사 공식 홈페이지·앱에 직접 접속해 같은 공지가 있는지 확인하세요. 대한항공은 출처가 불분명한 링크 클릭이나 첨부파일 다운로드, 개인정보를 요구하는 연락에 응하지 말라고 당부했습니다. 유출 안내를 핑계로 카드번호·여권번호·비밀번호를 입력하라고 하면 사칭을 의심하세요.

이번 사고로 실제 피해가 확인된 것은 아닙니다(대한항공은 2차 피해 미확인이라고 밝혔습니다). 일반적으로는 예약번호를 아는 사람이 항공사를 사칭해 "예약 변경·환불"을 미끼로 연락하는 피싱, 다른 정보와 결합될 경우 여행 일정 노출 같은 위험을 생각할 수 있습니다. 예약 확인 화면에는 여정·탑승자 정보가 함께 보일 수 있어 예약번호는 비밀번호처럼 다루는 것이 안전합니다.

보도에 따르면 대한항공은 10월 23일 저녁 대상 고객에게 이메일로 알렸습니다. 별도의 "유출 여부 조회" 서비스가 있는지는 확인되지 않았으니, 항공사 공식 홈페이지·앱 공지와 회원 계정에 등록된 이메일을 확인하세요. 개인정보 보호법은 유출을 알게 된 개인정보처리자가 지체 없이 정보주체에게 항목·시점·경위 등을 알리도록 정합니다.

법은 길을 열어 두고 있지만 이번 사고의 배상 여부는 정해지지 않았습니다. 개인정보 보호법상 법 위반으로 손해를 입으면 손해배상을 청구할 수 있고 회사가 과실이 없음을 입증해야 하며, 고의·과실로 유출된 경우 손해 증명 없이 300만원 이하의 법정손해배상을 청구하는 방법도 있습니다. 항공사가 별도 보상을 발표했는지는 확인되지 않았습니다.

아직 확인되지 않았습니다. 두 항공사가 확인했다고 밝힌 유출 항목은 예약번호(아시아나는 "예약 관련 정보")이고, 결제 정보는 포함되지 않았다고 했습니다. 이름·연락처·여권번호 등 다른 항목과 전체 규모는 아마데우스가 조사 중이라고 보도됐습니다.

최종 판단은 계약관계와 조사 결과에 따라야 하지만, 개인정보 보호법 구조상 항공사가 "운영사 관리 영역"이라고만 할 수는 없습니다. 업무를 위탁한 개인정보처리자는 수탁자를 교육·감독해야 하고, 수탁자가 위탁 업무 중 법을 위반해 생긴 손해배상책임에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 다만 아마데우스와의 관계가 법상 처리위탁인지, 국외 이전 요건을 어떻게 갖췄는지는 공개되지 않았습니다.

개인정보 보호법은 유출을 알게 되면 지체 없이 ① 유출 항목 ② 시점과 경위 ③ 피해를 줄이기 위해 할 수 있는 방법 ④ 회사의 대응과 피해 구제 절차 ⑤ 신고 접수 부서·연락처 ⑥ 손해배상·분쟁조정 등 법적 권리와 행사 방법을 알리도록 정합니다. 받은 안내에 이 내용이 빠져 있으면 공식 고객센터에 요청할 수 있습니다.

사유를 증명할 책임은 항공사에 있습니다. 소비자분쟁해결기준은 항공사가 기상사정·공항사정 등을 "증명한 경우" 배상에서 제외하고, 항공사업법 제61조도 항공사가 불가항력 피해임을 증명하고 보호기준을 지켰을 때만 피해구제 의무에서 벗어난다고 정합니다. 그러니 "기상 악화"라는 말만으로 끝내지 말고 사유와 근거를 서면으로 요청할 수 있습니다. 기준표의 "기상사정"은 항공기가 운행할 수 없는 악천후 등의 기상상태를 말합니다.

모든 정비가 불가항력은 아닙니다. 항공사업법 제12조가 예외로 두는 것은 "안전운항을 위한 정비로서 예견하지 못한 정비"이고, 소비자분쟁해결기준도 국토교통부 정비기준에 따른 점검이나 "안전운항을 위한 예견하지 못한 조치"를 항공사가 증명한 경우에만 배상에서 뺍니다. 한국소비자원은 2026년 10월 조사에서 한 외항사가 "기장이 수령 기록에 서명한 뒤 운항 중 발생한 기술적 문제"를 불가항력으로 규정한 것을 면책 범위를 과도하게 넓힌 사례로 지적했습니다. EU 공식 안내도 대부분의 기술적 문제는 특별한 사정이 아니라고 설명합니다.