대한항공 임직원 정보는 왜 KC&D 서버에서 유출됐나…고객 정보 영향은

대한항공 임직원 개인정보 약 3만 건이 기내식·기내 판매 협력업체 KC&D서비스(KC&D)의 해킹으로 외부에 노출된 정황이 2025년 12월 알려졌다.

공격을 받은 곳은 대한항공 자체 시스템이 아니라 KC&D 서버다.

당시 대한항공은 고객 정보는 영향이 없는 것으로 파악됐다고 밝혔다.

KC&D는 대한항공 기내식기판본부에서 분리돼 2020년 한앤컴퍼니에 매각된 회사다.

보도에 따르면 당시 서버에 남아 있던 임직원 개인정보가 이번 해킹 과정에서 유출된 것으로 파악됐다.

별도 회사로 분리된 뒤에도 KC&D는 대한항공의 기내식·기내 판매 협력사로 일하고 있어, 협력사 서버에 보관된 정보가 항공사 직원과 연결된 사안이 됐다.

유출 규모는 약 3만 건으로 보도됐지만, 이를 임직원 3만 명으로 볼 수는 없다는 보도도 나왔다.

유출 항목에 대해서는 매체별 보도에 차이가 있다.

성명과 계좌번호 등이 포함됐다는 보도가 있는 한편, 성명과 전화번호가 포함됐다는 보도도 있었다.

공통적으로 확인된 것은 임직원 정보가 대상이라는 점이며, 보도 당시 고객 개인정보는 유출되지 않은 것으로 전해졌다.

우기홍 대한항공 부회장은 2025년 12월 26일 사내 공지로 사고를 알렸고, 대한항공은 29일 개인정보 유출 통지문을 공지했다.

회사는 사고를 인지한 뒤 KC&D와의 서비스 연동 안전성을 점검하고 관계 기관에 신고했으며, 정확한 유출 범위와 대상자를 확인하고 있다고 밝혔다.

KC&D에는 사고 경위 분석과 재발 방지 대책 마련을 요청했다.

임직원들에게는 회사나 금융기관을 사칭해 이체 또는 보안카드 번호를 요구하는 문자·이메일에 주의하라고 당부했다.