일본항공(JAL)은 글로벌 기술 기업 Amadeus가 운영하는 여객 서비스 시스템(Passenger Service System)의 취약점으로 인해 약 9만 2천 명의 고객 민감 데이터가 노출되는 보안 침해 사고가 발생했다고 발표했습니다. 이번 사건은 항공 업계가 외부 기술 서비스 제공업체에 의존함에 따라 발생하는 보안 위험을 보여주는 사례입니다.
침해 세부 정보
공식 발표에 따르면, Amadeus는 2026년 10월 23일 일본항공 측에 2023년 8월 10일부터 2026년 9월 23일까지 장기간에 걸쳐 자사 시스템에 무단 접근이 있었다고 통보했습니다. 유출된 데이터는 고객별로 차이가 있으며 내용은 다음과 같습니다.
- 약 9만 명의 고객: 예약 코드(PNR), 이름, 항공편 날짜, 경로, 좌석 등급에 접근이 이루어졌습니다.
- 약 2,000명의 고객: 이메일 주소, 전화번호, 여권 번호, 국적, 상용 고객 번호, 항공편 및 좌석 세부 정보를 포함한 추가 데이터가 위험에 노출되었습니다.
일본항공은 신용카드 번호와 비밀번호는 유출된 데이터에 포함되지 않았으며, 현재까지 유출된 정보가 악용되었다는 증거는 없다고 확인했습니다.
기술적 영향 범위
이번 사건은 일본항공에만 국한되지 않습니다. Amadeus는 전 세계 항공 업계의 주요 기술 공급업체로서 400개 이상의 항공사와 수백만 개의 호텔에 서비스를 제공하고 있습니다. 전일본공수(ANA), 아시아나항공, 대한항공 등 다른 항공사들도 이번 여행 예약 조회 환경의 보안 취약점으로 인해 영향을 받았음을 확인했습니다.
이 뉴스가 중요한 이유
이번 침해 사고는 소프트웨어 공급망 보안(Software Supply Chain Security)의 근본적인 과제를 부각시킵니다. 항공과 같은 핵심 분야가 단일 중앙 집중식 기술 플랫폼에 의존할 경우, 해당 플랫폼의 취약점은 즉시 국경과 기업을 넘나드는 위협으로 변합니다. Amadeus는 취약점을 해결했다고 발표했으나, 침해 기간이 3년 이상 지속되었다는 점은 디지털 예약 환경에서의 모니터링 및 침해 탐지 시스템의 효율성에 의문을 제기하며, 수백만 명의 승객 데이터에 접근 권한을 가진 기술 서비스 제공업체의 사이버 보안 프로토콜을 재검토해야 할 필요성을 강조합니다.