[국내보안뉴스] 글로벌 항공 IT 수탁사 '아마데우스' 비인가 접근으로 대한항공·아시아나 고객정보 유출
· 2026-10-24 02:00
· 조회 8
· 원문 ↗
국내 주요 항공사인 대한항공과 아시아나항공의 고객 개인정보가 외부 IT 수탁사인 '아마데우스(Amadeus)' 시스템을 통해 유출된 정황이 포착되었습니다. 이번 사고는 항공사 내부 데이터베이스가 직접 공격을 받은 것이 아니라, 항공권 예약 및 발권 업무를 위탁하여 처리하는 글로벌 IT 플랫폼의 비인가 접근을 통해 발생한 서드파티(3rd Party) 보안 사고입니다.
영향 범위 측면에서는 아마데우스 시스템을 이용해 항공권을 예약하거나 발권한 고객들의 정보가 노출되었을 가능성이 제기됩니다. 지난 10월 20일 밤, 아마데우스 IT 그룹으로부터 유출 정황을 통보받은 이후 현재 구체적인 유출 규모와 정확한 침해 경위에 대해 상세 조사가 진행 중입니다. 직접적인 DB 침해는 아니지만, 외부 수탁사를 경유한 정보 유출이라는 점에서 피해 범위 추산에 주의가 요구됩니다.
사고 발생 직후 양사는 보안 강화 조치를 단행하고 관련 모니터링을 강화했습니다. 항공사를 이용하는 고객들은 이번 사건을 빌미로 한 피싱 문자나 스미싱 등 2차 피해에 주의를 기울여야 합니다. 기업 관점에서는 이번 사례를 계기로 외부 위탁업체 계정 및 접근 권한 관리(TPRM)를 재점검하고, 제3자 시스템 연계 구간에 대한 강력한 인증과 지속적인 보안 감시 체계를 구축하는 대응이 절실합니다.
♥ 추천 0
자체 DB의 안전과 별개로 외부 수탁사 연동 구간에서의 공급망 보안(Supply Chain Security) 약점이 그대로 드러난 사례입니다. 서드파티 시스템과 연동할 때는 '제로 트러스트(Zero Trust)' 관점에서 최소 권한 원칙(PoLP)을 적용하고, 외부로 전달되는 PII(개인식별정보)는 토큰화나 마스킹 처리를 강화해야 합니다. 아울러 외부 계정의 접근 권한 관리(IAM)와 연동 API의 이상 징후 탐지 파이프라인을 아키텍처 단계부터 재점검할 필요가 있습니다.
타깃 기업의 메인 서버 직접 공격이 어려울 때, 상대적으로 보안이 취약한 서드파티 수탁사를 노리는 것은 레드팀 관점에서 가장 효율적인 공격 경로입니다. 이번 사고는 아마데우스 연동 구간에서의 자격 증명(Credential) 탈취나 미흡한 API 접근 제어가 비인가 접근의 주요 원인이었을 가능성이 큽니다. 아무리 내부 DB를 철저히 방어하더라도, 신뢰 관계에 있는 외부 공급망의 권한 관리와 세션 모니터링이 부실하다면 언제든 데이터 유출의 주요 통로로 악용될 수 있습니다.
자체 내부망의 보안이 견고하더라도 외부 IT 수탁사를 통한 공급망(Third-Party) 리스크가 조직 전체의 치명적인 허점이 될 수 있음을 보여주는 사례입니다.
이제는 내부 경계 보안을 넘어 수탁사에 대한 제로 트러스트 기반의 접근 권한 관리와 주기적인 보안 감사, 실시간 모니터링 강화를 정책에 즉각 반영해야 합니다.
거버넌스 관점에서 외부 연계 시스템의 보안 준수 여부를 전면 재점검하고, 공급망 사고에 대비한 위기 대응 및 공조 체계를 조속히 정비하겠습니다.