내 항공권 ‘예약번호’가 샜다? 대한항공·아시아나가 쓰는 예약 시스템 ‘아마데우스’ 무단 접속 사고로 본 유출 범위(확인된 것·모르는 것)와 피싱 구별법, 오늘 5분 점검을 초보도 쉽게

PC로 은행 사이트에 들어가 이체 한 번 하려는데 화면에 “보안프로그램을 설치해 주세요”가 뜨고, 설치 버튼을 누르면 키보드 보안·방화벽·인증서 프로그램이 줄줄이 깔리는 경험, 한 번쯤 해 보셨죠? “귀찮지만 내 돈 지켜 주는 거니까” 하고 넘어가셨을 거예요.

그런데 10월 22일 국회 정무위원회 종합국정감사에서 이 프로그램들이 오히려 해커의 통로가 될 수 있다는 지적이 나왔어요. 더불어민주당 손명수 의원이 은행들에서 받은 자료에 따르면 국내 은행 19곳 중 9곳은 보안프로그램을 깔지 않으면 인터넷뱅킹 거래를 아예 할 수 없고, 많게는 6개까지 설치해야 하는 은행도 있었어요. 이찬진 금융감독원장은 “관계기관과 논의하고 금융위원회와 협의해 정리해 나가겠다”고 답했죠. 오늘은 이 프로그램들이 정확히 뭔지, 왜 문제가 되는지, 그리고 내 PC에서 오늘 할 수 있는 정리법까지 초보 눈높이로 풀어 볼게요.

지난 23일, 대한항공이나 아시아나항공을 이용해 본 분들 가운데 일부는 “개인정보 유출 사실 안내 및 사과”라는 제목의 메일을 받으셨을 거예요. 내용을 읽어 보면 해킹을 당한 곳은 항공사가 아니라 ‘아마데우스(Amadeus)’라는 해외 IT 회사예요. 그리고 지금까지 확인된 유출 항목은 ‘예약번호’고요.

“예약번호 정도면 별거 아니지 않나?”, “아마데우스가 대체 어디길래 우리 항공권 정보를 갖고 있지?” 하는 궁금증이 드실 거예요. 오늘은 이번 사고가 어떻게 일어났는지, 예약번호가 새면 무엇이 걱정되고 무엇은 괜찮은지, 그리고 메일을 받았든 안 받았든 오늘 5분이면 끝나는 점검법까지 처음 보는 분 눈높이로 차근차근 정리해 볼게요.

한눈에 보는 요약

아마데우스가 뭐길래 내 항공권 정보를 갖고 있을까?

우리가 항공사 앱에서 표를 사면, 그 예약이 항공사 컴퓨터 안에만 저장된다고 생각하기 쉬워요. 하지만 실제로는 많은 항공사가 예약·발권·좌석 배정 같은 핵심 업무를 전문 IT 회사의 시스템에 맡겨서 써요. 아마데우스는 그런 회사 중 대표 주자로, 항공사뿐 아니라 호텔·여행사 같은 여행 업계 전반에 소프트웨어를 공급하는 글로벌 기업이에요. 언론 보도에 따르면 전 세계 200곳 안팎의 항공사가 아마데우스의 여객 서비스 시스템을 쓰고 있어요.

쉽게 비유하면, 여러 가게가 함께 쓰는 ‘공용 물류 창고’ 같은 거예요. 가게(항공사)마다 자기 매장(앱·홈페이지)은 따로 있지만, 손님 주문서(예약 기록)는 큰 공용 창고(아마데우스)에 보관하는 거죠. 이번에는 가게 문이 아니라 창고 출입증 하나가 엉뚱한 사람 손에 들어간 상황이라고 보시면 돼요.

사건 흐름, 날짜로 정리하면

이번 사고에서 가장 눈에 띄는 건 기간이에요. 무단 접근이 있었던 것으로 추정되는 구간이 2023년 8월부터 2026년 9월까지로 꽤 길게 잡혀 있어요. 다만 이건 “그 기간 내내 누군가 들락거렸다”는 확정이 아니라 “그 사이 어딘가에서 일어났을 수 있다”는 추정 범위예요. 정확한 시점은 아직 조사 중이라는 점을 꼭 같이 기억해 주세요.

지금까지 확인된 것 vs 아직 모르는 것

유출 사고 초기에는 소문과 추측이 섞여 돌기 쉬워요. 공식 공지와 보도로 확인된 내용과 아직 확인되지 않은 내용을 나눠 두면 불안감이 훨씬 줄어요.

예약번호만 샜다면, 정말 괜찮은 걸까?

예약번호는 카드번호나 비밀번호처럼 바로 돈과 연결되는 정보는 아니에요. 그래서 너무 겁먹으실 필요는 없어요. 다만 ‘아무 쓸모없는 숫자’도 아니라는 점은 알아 두시면 좋아요.

대부분 항공사 홈페이지·앱의 ‘예약 조회’ 화면은 예약번호와 승객 이름(성)을 함께 넣으면 열려요. 즉 예약번호에 이름까지 알게 되면 여정 확인 같은 예약 관리 화면에 접근하려 시도할 수 있다는 뜻이에요. 그리고 더 현실적인 걱정은 피싱이에요. 진짜 예약번호를 아는 사기범이 “고객님 예약 K7Q○○Z에 오류가 생겼습니다, 환불받으세요”라고 연락하면, 사람은 진짜 항공사라고 믿기 쉬워지거든요.

사기범이 보낼 법한 메시지, 이렇게 구별해요

유출 사고 직후부터 몇 주~몇 달 사이가 피싱이 가장 많이 늘어나는 시기예요. 특히 여행을 앞둔 분이라면 출발일이 가까워질수록 “체크인”, “좌석”, “추가 결제” 같은 말에 마음이 급해지기 쉬우니 더 조심해 주세요. 독일 연방정보보안청(BSI)도 여행 업계 유출 소식이 나오면 미결제 요금이나 사전 체크인을 내세운 메일을 특히 의심하라고 조언한 적이 있어요.

오늘 5분 점검 체크리스트

왜 이런 일이 반복될까? ‘공급망’이라는 약한 고리

이번 사고는 보안 업계에서 말하는 ‘공급망(서드파티) 리스크’의 전형적인 예예요. 항공사 자체 보안이 아무리 튼튼해도, 고객 데이터를 함께 다루는 바깥 업체 한 곳의 출입증이 새면 그 길로 정보가 나갈 수 있어요. 게다가 아마데우스처럼 많은 회사가 함께 쓰는 시스템은 한 번 뚫리면 여러 고객사가 동시에 영향을 받을 수 있다는 점에서 더 신경 써야 하죠.

참고로 아마데우스는 이번 일 이전인 10월 중순에도 독일 IT 매체 하이제(heise)를 통해 별도의 보안 문제가 보도된 적이 있어요. 인증 없이 열려 있던 서버 메모리 덤프에서 접속 정보가 노출돼, 루프트한자·콘도르 등 일부 항공편 예약 데이터를 조회할 수 있었다는 내용이었죠. 아마데우스는 9월 21일 제보를 받고 문제를 고쳤으며 결제 정보는 접근 대상이 아니었다고 밝혔어요. 다만 그 건이 이번 대한항공·아시아나 사고와 같은 사건인지는 공식적으로 확인되지 않았어요. 섣불리 하나로 묶지 않는 게 맞아요.

자주 묻는 질문

마무리: 예약번호는 ‘열쇠’가 아니라 ‘이름표’지만

이번 사고에서 지금까지 확인된 유출 정보는 예약번호이고, 결제 정보는 빠졌으며, 항공사 자체 서버가 뚫린 정황도 없어요. 그러니 지나치게 불안해하실 필요는 없어요. 다만 예약번호는 사기범에게 “진짜처럼 보이게 만드는 이름표” 역할을 할 수 있어요. 그래서 핵심은 단 하나예요. 항공사라고 연락이 오면, 링크를 누르지 말고 내가 직접 공식 앱을 열어 확인하기.

여행 계획이 있는 가족이나 부모님께도 오늘 이 한 줄만은 꼭 전해 주세요. 추가로 유출 항목이나 피해 규모가 확인되면, 무엇이 달라지는지 또 쉽게 풀어 드릴게요. ✈️