대한항공 임직원 정보 3만여 건 유출, 무엇이 새고 어떻게 대응했나

대한항공 임직원 개인정보 약 3만 건이 기내식·기내 판매 협력업체 KC&D의 해킹으로 유출됐다.

공격을 받은 곳은 대한항공이 아니라 KC&D 서버였지만, 그 안에 대한항공 임직원 정보가 저장돼 있었다.

KC&D가 한국인터넷진흥원에 제출한 사고 신고서를 인용한 보도에 따르면 서버에 악성코드가 올라온 날은 2025년 11월 28일이고, 업체가 개인정보 유출을 확인한 날은 12월 22일이다.

대한항공은 12월 26일 우기홍 부회장의 사내 공지로 임직원에게 사고를 알렸다.

KC&D는 2020년 12월 대한항공에서 분리 매각됐으며, 이후에도 기내식과 기내 판매를 납품해 왔다.

유출 정보에는 성명과 계좌번호가 포함됐다.

보도된 ‘3만여 건’은 정보 건수로, 3만여 명의 정보가 유출됐다는 뜻은 아닌 것으로 전해졌다.

대한항공은 당시 고객 정보 유출은 확인되지 않았고, 성명·계좌번호 외에 추가 정보가 빠져나간 정황도 파악되지 않았다고 밝혔다.

다만 공지 당시에는 정확한 유출 범위와 대상자를 확인하는 작업이 진행 중이었다.

정보가 협력업체 서버에 보관된 경위는 분명히 밝혀지지 않았다.

MBN 보도에 따르면 KC&D는 해당 정보를 요청한 적이 없다는 입장이며, 2020년 분리 매각 과정에서 정보가 넘어갔을 가능성이 제기됐지만 확정된 사실은 아니다.

대한항공은 외부 협력업체의 관리 영역에서 발생한 사고라고 설명했다.

대한항공은 사고를 인지한 뒤 서비스 연동 안전성을 점검하고 관계 기관에 신고했다고 밝혔다.

KC&D에는 사고 경위 분석과 재발 방지를 요청했다.

또 회사나 금융기관을 사칭해 송금을 요구하거나 보안카드 번호를 묻는 문자·이메일에 주의하라고 임직원에게 당부했다.