ANA, 아마데우스 침해로 고객 3만7,800명 정보 노출 가능성…1,700명은 여권번호도 포함

항공 기술 공급업체를 통해 예약 정보 노출

전일본공수(ANA)는 2026년 10월 30일, 스페인 기술 계약업체 아마데우스 IT 그룹이 운영하는 시스템에 무단 접근이 발생해 고객 약 3만7,800명의 예약 정보가 노출됐을 가능성이 있다고 밝혔다. 이 가운데 약 1,700명은 외부에서 접근한 흔적이 확인된 정보에 여권번호와 기타 개인정보도 포함됐다.

ANA는 아마데우스가 9월 24일 무단 접근을 감지했지만 항공사가 계약업체로부터 보고를 받은 것은 26일 뒤인 10월 20일이었다고 밝혔다. ANA는 공급업체를 이용하는 다른 항공사들도 피해를 입었다는 사실을 10월 16일 알게 된 뒤 아마데우스에 자사 정보의 노출 여부를 조사해 달라고 요청했다.

항공사는 피해 고객을 두 그룹으로 구분했다. 약 3만6,100명은 이름과 여행 정보 등 기본 예약 정보가 노출됐다. 약 1,700명은 연락처, 여권번호, 상용고객 번호 등을 포함한 더 광범위한 정보가 관련됐다. ANA는 신용카드 정보와 비밀번호는 피해 데이터에 포함되지 않았다고 밝혔다.

ANA는 11월 첫째 주부터 피해 고객에게 연락할 예정이다. 항공사가 승객들에게 즉시 주의를 당부한 사항은 ANA그룹을 사칭하는 의심스러운 이메일, 전화, 웹사이트, 소셜미디어 광고다.

이번 사건은 한 항공사에 그치지 않는다. 일본항공(JAL)과 일본트랜스오션항공(JTA)은 같은 공급업체와 관련한 무단 접근으로 고객 약 9만2,000명의 정보가 영향을 받았을 가능성이 있다고 이미 발표했다. 다른 일본 항공사들도 노출 여부를 확인 중이었으며, 대한항공과 아시아나항공 고객의 예약번호도 노출된 것으로 알려졌다.

어떤 정보가 관련됐나?

ANA에서 가장 큰 피해 고객 집단인 약 3만6,100명은 외부 접근 흔적이 확인된 정보 5종, 즉 이름, 예약번호, 여행 날짜, 항공 구간, 좌석 등급이 관련됐다. 항공 구간은 도쿄에서 삿포로까지의 항공편처럼 여정의 일부를 뜻한다. 좌석 등급은 이코노미석이나 비즈니스석 같은 여행 범주를 나타낸다.

약 1,700명으로 이뤄진 소규모 집단은 같은 정보에 더해 이메일 주소, 전화번호, 여권번호, 국적, 상용고객 번호, 항공사명, 항공편 번호, 항공권 번호, 좌석 번호도 관련됐다.

따라서 ANA가 확인한 고객 3만7,800명 가운데 약 4.5%는 피해 정보에 여권번호가 포함됐다. 나머지 약 95.5%는 노출 정보가 기본 예약 정보 5종에 한정된 집단이다.

ANA는 예약 정보가 시스템 외부에서 조회된 흔적을 확인했다고 설명했다. 발표 당시에는 정보가 시스템 밖으로 복사됐는지 또는 이후 악용됐는지 확인되지 않았다. 승객이 우려해야 할 실질적인 문제는 피해 정보 항목을 통해 개인의 신원과 구체적인 여정을 연결할 수 있다는 점이다.

어떤 기간의 예약이 대상인가?

ANA는 2023년 8월 10일부터 2026년 9월 23일 사이에 예약한 고객 중 일부가 영향을 받았다고 밝혔다. 이번 공개 내용은 3년이 넘는 기간에 걸친 예약 중 일부에 관한 것으로, 해당 기간에 예약한 모든 승객이 대상인 것은 아니다.

대상 기간은 2023년 8월 10일부터 2026년 9월 23일까지의 ANA 운항 항공편을 포함하는 것으로도 설명됐다. 발표 내용을 상세히 전한 대부분의 자료는 이 기간을 예약이 이뤄진 시점으로 명시한다. 고객은 자신의 예약이 대상인지 확인하기 위해 ANA가 개별적으로 보내는 안내를 확인해야 한다.

대상 기록에는 승객이 여행을 예약할 때 제공하거나 생성되는 정보가 담겨 있다. 예약번호는 예약 건을 식별하고, 항공권 번호는 발권된 여행 문서를 식별한다. 이러한 정보는 최초 구매 이후에도 여객 서비스 시스템에 남을 수 있어, 2023년까지 거슬러 올라가는 예약이 이번 노출 범위에 포함된 배경을 설명해 준다.

사건 파악과 공개 경과

ANA는 피해 고객 수와 관련 정보의 범위를 조사하던 중 10월 29일 사건을 처음 공개했다. 이튿날에는 피해 가능성이 있는 고객이 3만7,800명이며 노출된 데이터가 두 범주로 나뉜다고 발표했다.

공개 발표보다 한 달 이상 앞서 사건이 시작됐다.

• 2026년 9월 24일: 아마데우스가 항공 예약 정보에 대한 무단 접근을 감지했다. ANA는 당시 보고를 받지 못했다고 밝혔다.
• 10월 16일: ANA는 아마데우스를 이용하는 다른 항공사들이 피해를 입은 사실을 파악하고, 공급업체에 ANA 항공편 예약 정보의 노출 여부를 확인해 달라고 요청했다.
• 10월 20일: ANA는 아마데우스의 보고를 받고 일본 개인정보보호위원회와 관련 기관에 사건을 신고했다.
• 10월 29일: ANA는 일부 고객의 예약 정보가 외부에서 접근된 흔적이 있다고 공개했다.
• 10월 30일: ANA는 피해 가능성이 있는 고객 약 3만7,800명을 확인하고 관련 정보의 세부 내용을 밝혔다.
• 11월 첫째 주: ANA는 피해 고객에게 순차적으로 연락하기 시작할 예정이다.

이 일정에 따르면 ANA의 조사는 계약업체가 항공사에 보고하기 전에 시작됐다. 아마데우스는 9월 24일 사건을 감지했고, ANA는 22일 뒤 자사 정보의 노출 여부를 확인해 달라고 요청했다. 공급업체는 요청을 받은 지 나흘 뒤 ANA에 보고했다.

ANA와 아마데우스는 10월 20일 이후에도 고객 정보를 계속 확인했다. ANA의 보고를 받은 일본 개인정보보호위원회는 개인정보 보호를 감독하는 기관이다.

아마데우스의 조치

아마데우스는 이번 사건과 관련된 여객 서비스 시스템을 제공한다. 항공사들은 예약과 항공권 발권을 비롯한 업무를 관리하기 위해 이러한 시스템을 사용하며, 일반적인 여행 운영 과정에서 고객 정보를 전문 기술 공급업체에 맡긴다.

ANA는 무단 접근과 관련된 인증 정보를 비활성화하고 모니터링을 강화했다고 아마데우스가 확인했다고 밝혔다. 인증 정보는 사람이나 시스템이 서비스에 접속하도록 허용하는 디지털 식별 정보 또는 접근 정보다. 이를 비활성화하면 해당 정보로 더 이상 접속할 수 없다.

아마데우스는 랜섬웨어로 인한 피해나 데이터 변경·삭제, 서비스 중단의 증거는 없다고도 밝혔다. 랜섬웨어는 정보를 잠그거나 시스템을 마비시킨 뒤 대가를 요구하는 악성 소프트웨어다. ANA가 설명한 대응의 핵심은 고객 기록에 대한 무단 접근과 관련 접근 정보의 폐기다.

이 조치들은 공급업체 차원의 접근 관리와 모니터링을 다룬다. ANA는 동시에 정보가 관련된 고객을 파악하고 어떤 정보가 피해를 입었는지 알려야 한다.

같은 공급업체를 이용하는 다른 항공사도 피해

JAL과 JTA는 10월 28일 아마데우스를 통한 외부 접근 흔적으로 고객 약 9만2,000명의 예약 정보가 영향을 받았을 가능성이 있다고 발표했다. 이 가운데 약 2,000명은 여권번호와 기타 정보도 노출됐을 가능성이 있다. 두 항공사는 10월 23일 아마데우스로부터 보고를 받았다.

JAL과 JTA가 확인한 고객 9만2,000명은 ANA의 3만7,800명보다 약 2.4배 많다. 여권번호와 기타 추가 정보가 관련된 고객은 JAL·JTA 집단의 약 2.2%로, ANA 집단의 약 4.5%보다 낮다.

ANA를 통해 아마데우스 시스템을 이용하는 에어두, 솔라시드에어, 스타플라이어는 10월 29일 개인정보가 외부에서 접근된 흔적이 있다는 사실을 ANA로부터 통보받았다고 밝혔다. 이들 항공사는 피해 범위를 파악하기 위해 ANA와 협력하고 있었다. 대한항공과 아시아나항공 고객의 예약번호도 노출돼 사건의 여파가 일본을 넘어 확산됐다.

JAL과 JTA는 피해 정보의 오용이나 항공 운항 차질은 확인되지 않았다고 밝혔다. 여러 항공사가 같은 공급업체를 이용하면 공통된 노출 지점이 생기지만, 각 항공사는 자체 피해 고객을 확인하고 통지해야 한다.

ANA가 사칭 행위에 주의를 당부하는 이유

ANA는 고객들에게 항공사 그룹을 사칭하는 메시지와 전화에 주의하라고 당부했다. 예약 정보가 노출되면 전화나 이메일을 보낸 사람이 실제 여행 날짜, 목적지, 항공편 번호를 알고 있을 수 있어 사기 시도가 더 그럴듯해질 수 있다.

예를 들어 사기 메시지는 실제 예약을 언급하며 긴급 결제가 필요하다거나 환불을 받으려면 금융 정보를 입력해야 한다고 주장할 수 있다. 피싱은 신뢰할 수 있는 기관을 사칭해 정보를 공개하도록 유도하거나 허위 웹사이트를 방문하게 하는 수법이다.

예약 관련 메시지를 예기치 않게 받은 승객은 메시지에 포함된 링크나 전화번호를 이용하지 말고 평소 사용하는 ANA 웹사이트나 앱에서 내용을 확인할 수 있다. 요청하지 않은 연락을 통해 비밀번호, 인증 코드, 카드 정보, 여권 이미지를 요구하는 경우 특히 주의해야 한다.

ANA가 예정한 개별 안내는 광범위한 예약 기간만으로 판단하는 것보다 피해 고객에게 더 구체적인 대응 기준을 제공할 것이다. 약 1,700명 집단에 속한 고객은 일정뿐 아니라 연락처와 신원 정보도 우려해야 한다. 더 큰 집단에서도 노출된 정보가 이름과 여정을 연결한다.

잇따른 정보 공개로 커지는 일본의 데이터 보안 우려

일본 외무성도 10월 30일 이름과 이메일 주소 등 개인정보가 담긴 기록 약 3,600건이 무단 접근으로 노출됐을 가능성이 있다고 밝혔다. 이 가운데 약 900건은 외무성 외부 인물의 기록이었다. 피해가 발생한 환경은 외부 시스템과 연결된 네트워크였으며, 외무성은 고도의 기밀 정보를 다루는 별도의 폐쇄망에서는 무단 접근이 확인되지 않았다고 밝혔다.

무인양품 운영사 료힌게이카쿠는 공식 앱에 대한 무단 접근으로 고객 기록 최대 2,726만 건이 노출됐을 가능성이 있다고 공개했다. 피해 가능성이 있는 항목에는 이메일 주소, 생년월일, 성별이 포함됐으며, 앱 이용을 중단한 사람과 관련된 정보도 포함됐다. 이름과 신용카드 정보는 피해 데이터에 포함되지 않았다.

무인양품은 정보 오용은 확인되지 않았으며 피해 고객에게 개별적으로 연락하고 앱과 온라인 스토어는 정상 운영을 계속한다고 밝혔다. 또한 고객들에게 의심스러운 이메일의 링크를 클릭하지 말라고 당부했다. 항공사와 외무성, 유통업체의 공개 내용은 정보와 서비스가 서로 다르지만, 피해자에게는 어떤 개인정보가 노출됐는지 정확히 알리는 안내가 필요하다는 점은 공통적이다.

핵심 내용

• ANA는 아마데우스에서 발생한 무단 접근으로 고객 약 3만7,800명의 예약 정보가 노출됐을 가능성이 있다고 확인했다.
• 고객 약 3만6,100명은 기본 예약 정보가 관련됐고, 약 1,700명은 여권번호, 연락처 등 추가 정보도 관련됐다.
• ANA는 신용카드 정보와 비밀번호는 피해 데이터에 포함되지 않았다고 밝혔다.
• 아마데우스는 2026년 9월 24일 사건을 감지했다. ANA는 10월 20일 보고를 받았고 10월 30일 피해 고객을 상세히 공개했다.
• 아마데우스는 관련 인증 정보를 비활성화하고 모니터링을 강화했다. 서비스 중단은 없었다고 밝혔다.
• ANA는 11월 첫째 주부터 개별 통지를 시작할 예정이며 사칭 시도에 주의를 당부하고 있다.
• JAL과 JTA는 별도로 피해 고객 약 9만2,000명을 확인했으며, 다른 항공사들도 노출 여부를 조사하고 있다.