대한항공 개인정보 유 출 3만 건, 고객 정보도 위험할까? 해킹 원인과 확인 방법 총정리

대한항공 개인정보 유출 사고가 다시 관심을 받고 있다. 기내식 협력업체의 서버가 해킹되면서 대한항공 임직원의 이름과 계좌번호 등 약 3만 건의 개인정보가 유출된 사건이다.

특히 이번 사건은 대한항공 본사가 직접 해킹당한 것이 아니라, 과거 분리 매각된 협력업체에 남아 있던 정보가 공격 대상이 됐다는 점에서 주목받았다.

개인정보 유출 소식이 알려지면서 대한항공 항공권을 구매했거나 스카이패스 회원으로 가입한 일반 고객들 사이에서도 우려가 생길 수 있다.

그러나 2025년 12월 당시 대한항공이 밝힌 내용에 따르면 일반 고객 개인정보 유출은 확인되지 않았다. 이번 사고에서 알려진 주요 피해 대상은 대한항공 임직원이다.

그렇다면 약 3만 건의 정보는 어떻게 외부 협력업체 서버에 남아 있었을까? 유출된 계좌번호만으로 금융 피해가 발생할 수 있을까? 본인의 정보가 유출됐는지는 어떻게 확인해야 할까?

이번 글에서는 대한항공 개인정보 유출 사고의 발생 경위부터 해킹 피해 범위, KC&D서비스의 관리 책임 논란, 개인정보 유출 확인 방법과 2차 피해 예방 요령까지 자세히 살펴본다.

1. 대한항공 개인정보 유출 사고는 어떻게 발생했나?

2025년 12월 29일 대한항공 임직원 약 3만 건의 개인정보가 외부 해킹 공격으로 유출됐다는 사실이 언론을 통해 알려졌다.

사고가 발생한 곳은 대한항공의 기내식 및 기내 판매 관련 협력업체인 케이씨앤디서비스(KC&D서비스)다.

대한항공은 2020년 기내식 사업 부문을 분리 매각했다. 이후 별도 회사로 운영되던 KC&D서비스의 서버에 과거 대한항공 임직원 정보가 남아 있었던 것으로 파악됐다.

외부 해커가 해당 업체의 정보시스템에 접근하면서 저장돼 있던 개인정보가 유출된 것이다.

여기서 주목할 점은 개인정보를 수집한 기업과 사고 당시 해당 정보를 보유한 기업이 달랐다는 사실이다.

기업의 분할, 합병, 매각 과정에서는 업무 시스템과 직원 정보가 함께 이전될 수 있다. 하지만 실제 업무에 필요하지 않은 개인정보까지 이관되거나 장기간 보관된다면 추가적인 보안 위험이 발생할 수 있다.

이번 대한항공 개인정보 유출 사고는 바로 이러한 개인정보 관리 문제를 다시 살펴보게 만든 사례다.

2. 대한항공 개인정보 유출 규모는 약 3만 건

당시 보도에 따르면 유출된 개인정보는 약 3만 건으로 파악됐다.

대한항공 임직원들의 성명과 계좌번호가 주요 유출 항목으로 알려졌으며, 일부 보도에서는 연락처도 언급됐다.

다만 기사마다 언급된 정보 항목에 차이가 있으므로, 특정 개인의 실제 유출 항목은 공식 통지 내용과 조사 결과를 기준으로 확인해야 한다.

약 3만 건이라는 수치는 반드시 3만 명의 서로 다른 피해자가 존재한다는 의미는 아니다. 개인정보 사고에서 정보 건수와 실제 피해 인원은 구분해 확인할 필요가 있다.

3. KC&D서비스 해킹 원인과 사고 경위

대한항공 개인정보 유출 사고를 이해하는 데 중요한 기업이 KC&D서비스다.

KC&D서비스는 대한항공의 기내식 및 기내 판매 사업과 관련된 업체로, 2020년 12월 대한항공에서 분리 매각됐다.

2025년 12월 보도에 따르면 외부 해커조직이 KC&D서비스의 정보시스템에 접근하면서 개인정보가 유출됐다.

2026년 1월 4일 MBN 후속 보도에서는 2025년 11월 28일 내부 서버에 악성코드가 업로드됐으며, 12월 22일 개인정보 유출 사실을 인지했다는 사고 신고서 내용이 소개됐다.

이 보도는 단순한 외부 침입 문제를 넘어 왜 업무와 무관한 대한항공 직원들의 정보가 협력업체에 남아 있었는지에 주목했다.

분리 매각된 기업에 개인정보가 남아 있었던 이유

기업이 특정 사업 부문을 매각하면 관련 업무를 수행하는 데 필요한 시스템과 자료가 새로운 회사로 이관될 수 있다.

하지만 이관 대상에는 업무 수행에 반드시 필요한 개인정보만 포함돼야 하며, 보관 목적과 기간도 적절하게 관리돼야 한다.

이번 사건에서는 대한항공에 계속 근무하는 직원들의 정보까지 협력업체에 남아 있었던 것으로 알려지면서 개인정보 이관 및 관리 과정의 적절성이 쟁점으로 떠올랐다.

어떤 기업에 법적인 책임이 있는지는 개인정보 이전 당시의 계약과 관리 의무, 관련 법률, 실제 사고 원인 등을 종합적으로 살펴봐야 한다.

외부 협력업체 보안이 중요한 이유

기업은 내부 시스템의 보안을 강화하더라도 외부 협력업체가 동일한 수준의 보호 조치를 유지하지 못하면 개인정보 유출 위험에 노출될 수 있다.

특히 업무가 종료된 뒤에도 개인정보가 삭제되지 않고 남아 있다면 시간이 지날수록 관리 책임이 불명확해질 수 있다.

따라서 개인정보 보호는 정보를 처음 수집한 시점뿐 아니라 이전, 보관, 이용, 파기까지 모든 과정에서 이루어져야 한다.

4. 대한항공 일반 고객 정보도 유출됐을까?

이번 사건에서 일반 소비자들이 가장 궁금해하는 부분은 대한항공 항공권 구매 정보와 스카이패스 회원정보의 안전 여부다.

2025년 12월 대한항공은 이번 협력업체 해킹 사고와 관련해 일반 고객 개인정보 유출은 확인되지 않았다고 설명했다.

따라서 당시 공개된 사고를 근거로 대한항공 고객의 여권번호, 항공권 예약 내역, 스카이패스 비밀번호 또는 결제카드 정보가 유출됐다고 말하는 것은 정확하지 않다.

물론 개인정보 보안 사고는 조사 과정에서 확인 범위가 달라질 수 있다. 따라서 새로운 공식 발표가 있다면 해당 내용을 별도로 확인하는 것이 바람직하다.

고객이라면 사고 소식만으로 무조건 모든 계정을 해지할 필요는 없다. 다만 항공사나 금융기관을 사칭한 피싱 문자와 이메일은 주의할 필요가 있다.

5. 대한항공 개인정보 유출 여부 확인 방법

개인정보 유출 사고가 발생했을 때 가장 먼저 해야 할 일은 자신의 정보가 실제로 포함됐는지 확인하는 것이다.

이번 사고의 경우 일반 고객 전체를 대상으로 한 별도의 공개 조회 페이지가 확인된 것은 아니다.

따라서 개인정보 유출 여부는 공식 통지, 회사 담당 부서 또는 관계기관 안내를 통해 확인하는 것이 적절하다.

첫 번째: 대한항공 또는 KC&D서비스 공식 안내 확인

대한항공 임직원이나 관련 업무 종사자는 회사에서 전달한 공식 안내문을 먼저 확인해야 한다.

개인정보 유출 통지에는 사고 경위와 유출된 정보 항목, 피해 예방 방법, 문의처 등이 포함될 수 있다.

이메일이나 문자로 안내를 받았다면 발신자를 확인하고, 첨부파일이나 외부 링크를 무조건 열지 않는 것이 좋다.

두 번째: 개인정보 포털에서 유출 대응 정보 확인

개인정보보호위원회의 개인정보 포털에서는 개인정보 보호 제도와 유출 대응 관련 안내를 확인할 수 있다.

개인정보 포털 바로가기

다만 개인정보 포털에서 모든 기업의 모든 유출 사고에 대해 개인별 피해 여부를 조회할 수 있는 것은 아니다.

세 번째: KISA 보호나라 이용

한국인터넷진흥원(KISA)의 보호나라에서는 피싱, 스미싱, 해킹 등 사이버 침해사고와 관련된 보안 정보를 제공한다.

KISA 보호나라 바로가기

의심스러운 문자나 이메일을 받았다면 안내된 방법에 따라 신고 또는 상담을 진행할 수 있다.

6. 계좌번호가 유출되면 돈이 빠져나갈까?

이번 대한항공 개인정보 유출 사고에서 특히 주목받은 정보는 계좌번호다.

계좌번호는 급여 지급이나 거래 과정에서 활용되는 금융정보이기 때문에 외부로 유출되면 불안감을 느낄 수 있다.

다만 계좌번호만 알고 있다는 이유로 제3자가 자유롭게 계좌에서 돈을 인출할 수 있는 것은 아니다.

일반적인 계좌 이체나 출금에는 금융기관이 정한 인증 절차와 보안 수단이 필요하다.

그러나 계좌번호와 이름, 연락처 등 여러 정보가 결합되면 금융기관이나 회사를 사칭하는 범죄에 악용될 가능성이 있다.

계좌번호 유출 이후 주의할 범죄 유형

• 금융기관 사칭: 계좌 보안 점검이 필요하다며 인증번호나 비밀번호를 요구하는 연락
• 회사 담당자 사칭: 급여 계좌 변경이나 정산 문제를 이유로 개인정보를 추가 요구하는 연락
• 악성 링크 전송: 개인정보 유출 보상금 신청을 유도하는 문자
• 허위 환급 안내: 피해 보상이나 환급 절차를 빙자해 계좌 인증을 요구하는 수법
• 추가 개인정보 수집: 이미 확보한 이름과 계좌번호를 이용해 주민등록번호나 인증정보를 요구하는 방식

따라서 개인정보 유출 사고가 발생했을 때는 유출된 정보 자체뿐 아니라 이를 이용한 2차 사기 시도에 대비해야 한다.

7. 개인정보 유출 피해를 예방하는 실질적인 방법

개인정보 유출 사고 이후 가장 중요한 것은 실제로 발생할 수 있는 피해를 줄이는 것이다.

금융거래 알림 설정

계좌번호가 유출된 것으로 통지받았다면 해당 금융기관의 거래 알림 서비스를 설정하는 것이 좋다.

입출금 내역을 신속하게 확인할 수 있으면 본인이 모르는 거래나 의심스러운 움직임을 조기에 발견하는 데 도움이 된다.

비밀번호 및 인증정보 보호

이번 사고에서 비밀번호 유출이 확인되지 않았더라도 다른 서비스와 동일한 비밀번호를 여러 곳에서 사용하고 있다면 계정 보안을 점검할 필요가 있다.

특히 이메일과 금융 서비스에는 서로 다른 비밀번호를 사용하고, 가능한 경우 다중 인증을 설정하는 것이 좋다.

개인정보 유출 보상 문자 주의

해킹 사고가 알려진 뒤에는 피해 보상이나 유출 여부 조회를 사칭한 메시지가 등장할 수 있다.

공식 기관이나 기업의 안내처럼 보이더라도 출처가 불분명한 링크를 통해 주민등록번호, 계좌 비밀번호, 보안카드 번호 등을 입력해서는 안 된다.

필요한 경우 문자에 포함된 링크가 아니라 직접 입력한 공식 홈페이지 주소나 공식 고객센터를 이용해야 한다.

의심스러운 금융거래가 발생했다면

본인이 승인하지 않은 금융거래가 발생했거나 사기 피해가 의심된다면 즉시 거래 금융기관에 연락해 필요한 보호 조치를 문의해야 한다.

범죄 피해가 발생했다면 경찰 신고 등 공식 절차를 통해 대응하는 것이 좋다.

8. 대한항공과 KC&D서비스의 개인정보 관리 책임

이번 사건의 또 다른 쟁점은 개인정보를 보유하고 있던 기업과 원래 정보를 수집했던 기업의 책임 범위다.

대한항공은 외부 협력업체의 관리 영역에서 사고가 발생했다고 설명하면서도 임직원 정보가 연루된 만큼 사안을 엄중하게 보고 있다고 밝혔다.

KC&D서비스는 사고에 대해 사과하고 보안 강화와 관리 체계 개선을 약속했다.

이후 보도에서는 분리 매각 당시 업무와 무관한 개인정보까지 이관됐을 가능성이 제기됐다.

이 문제는 단순히 해킹 공격을 막지 못했다는 사실뿐 아니라 개인정보가 적절하게 이전되고 보관됐는지와도 연결된다.

기업 분리 매각 시 개인정보 관리의 중요성

기업이 사업 부문을 분리하거나 매각할 때는 정보시스템과 개인정보의 소유·관리 관계가 바뀔 수 있다.

이 과정에서 필요한 정보와 불필요한 정보를 명확하게 구분하지 않으면 이후 새로운 기업의 서버에 기존 직원이나 고객의 정보가 남을 수 있다.

개인정보는 보관 기간이 길수록 침해 위험에 노출될 기회가 늘어난다. 따라서 기업은 보유 목적이 종료된 개인정보를 관련 법령과 보존 의무에 따라 적절하게 파기해야 한다.

또한 외부 협력업체에 개인정보를 제공하거나 처리를 위탁하는 경우에도 접근 권한과 보안 조치, 사고 발생 시 대응 절차를 점검해야 한다.

9. 개인정보 유출 대응에 도움이 되는 공식 사이트

개인정보 유출 사고를 확인하거나 대응할 때는 신뢰할 수 있는 공식 기관을 이용하는 것이 중요하다.

• 대한항공 공식 홈페이지
• 개인정보 포털
• KISA 보호나라
• 금융감독원
• 경찰청 사이버범죄 신고시스템

10. 대한항공 개인정보 유출 관련 FAQ

Q1. 대한항공 개인정보 유출 사고는 언제 발생했나요?

해킹과 정보 유출은 2025년에 발생했으며, 대한항공 임직원 약 3만 건의 개인정보 유출 사실이 2025년 12월 29일 주요 언론을 통해 보도됐습니다.

Q2. 대한항공 고객 개인정보도 유출됐나요?

2025년 12월 당시 대한항공은 일반 고객 개인정보 유출은 확인되지 않았다고 설명했습니다. 알려진 주요 피해 대상은 임직원입니다.

Q3. 어떤 개인정보가 유출됐나요?

임직원의 성명과 계좌번호 등이 주요 유출 항목으로 보도됐습니다. 일부 보도에서는 연락처도 언급됐으며, 개인별 정확한 항목은 공식 통지로 확인해야 합니다.

Q4. 스카이패스 비밀번호를 변경해야 하나요?

이번 사고에서 스카이패스 고객 비밀번호가 유출됐다는 사실은 확인되지 않았습니다. 다만 비밀번호 재사용을 피하고 계정 보안을 점검하는 것은 일반적인 보안 관리에 도움이 됩니다.

Q5. 계좌번호만 유출돼도 돈이 빠져나갈 수 있나요?

계좌번호만으로 일반적인 금융거래 인증 절차를 우회해 자유롭게 출금할 수 있는 것은 아닙니다. 그러나 금융기관 사칭 등 2차 범죄에 악용될 수 있으므로 주의해야 합니다.

Q6. 개인정보 유출 여부를 조회할 수 있나요?

이번 사건의 모든 피해자를 대상으로 한 공개 조회 서비스가 확인된 것은 아닙니다. 공식 통지를 확인하고 필요한 경우 회사 담당 부서에 문의해야 합니다.

Q7. 개인정보 유출 피해 보상을 받을 수 있나요?

보상 여부는 실제 피해와 손해, 관련 법률 및 책임 인정 여부 등에 따라 달라집니다. 유출 사실만으로 일률적인 보상금이 자동 지급되는 것은 아닙니다.

Q8. KC&D서비스는 어떤 회사인가요?

대한항공의 기내식 및 기내 판매 사업과 관련된 업체로, 2020년 대한항공에서 분리 매각된 회사입니다. 이번 사고에서는 해당 업체의 정보시스템이 해킹 공격을 받은 것으로 보도됐습니다.

Q9. 개인정보 유출이 의심되면 어디에 신고하나요?

개인정보 관련 상담은 개인정보 포털과 관계기관 안내를 참고할 수 있으며, 피싱이나 사이버범죄 피해는 KISA 보호나라 또는 경찰청 사이버범죄 신고시스템 등을 이용할 수 있습니다.

11. 결론｜대한항공 개인정보 유출 사고가 남긴 과제

대한항공 개인정보 유출 사고는 약 3만 건의 임직원 정보가 외부 협력업체 해킹으로 유출된 사건이다.

특히 2020년 사업 부문 분리 매각 이후에도 기존 직원들의 개인정보가 협력업체 서버에 남아 있었다는 점이 중요한 쟁점으로 떠올랐다.

당시 대한항공은 일반 고객 개인정보 유출은 확인되지 않았다고 밝혔으며, 관계기관 신고와 긴급 보안 점검 등 대응 조치를 진행했다고 설명했다.

그러나 이번 사건은 기업이 보유한 개인정보를 얼마나 오래 저장하고, 외부 업체로 이전된 정보에 대해 어떤 관리 체계를 유지하는지가 얼마나 중요한지 보여준다.

개인정보 보호는 해킹 공격을 막는 기술적인 보안 조치만으로 완성되지 않는다. 정보 수집과 이전, 보관, 접근 권한 관리, 파기까지 모든 단계에서 지속적인 관리가 필요하다.

대한항공 개인정보 유출 사고의 핵심은 일반 고객 정보가 유출됐다는 소문이 아니라, 외부 협력업체에 남아 있던 임직원 정보가 어떻게 유출됐고 이를 어떻게 예방할 것인가에 있다.

본인의 정보가 실제 유출됐다는 통지를 받았다면 공식 안내를 확인하고, 금융거래 알림과 피싱 예방 조치 등을 통해 2차 피해 가능성을 줄이는 것이 바람직하다.

관련 보도 및 참고 자료

• 뉴스1｜대한항공 임직원 개인정보 3만 건 유출, KC&D서비스 사과
• MBN｜3만 건 개인정보 유출, 정보 이관 경위 후속 보도
• 경기일보｜대한항공 기내식 협력업체 해킹 사고
• 경향신문｜아시아나에 이어 대한항공 임직원 정보 유출
• 뉴스1｜대한항공 개인정보 유출 사건 종합 보도
• 개인정보 포털

작성 기준: 2026년 10월 24일. 본 글은 공개 보도 및 당시 기업 발표를 바탕으로 작성했습니다. 새로운 공식 조사 결과가 확인되면 내용이 달라질 수 있습니다.