항공사 해킹, 뉴스 반응과 실적은 따로 봐라
대한항공과 아시아나가 IT 협력사 아마데우스 해킹으로 고객 예약정보가 유출됐다고 밝혔고, 결제정보와 자체 시스템 침해는 확인되지 않았다. 유출은 과징금과 손해배상, 신뢰도 세 경로로 실적에 닿지만 9월 시행된 개정법의 과징금 상한과 실제 부과액은 사고 성격에 따라 크게 달라진다. 공시 당일 주가 반응과 실제 실적 영향은 시점이 다른 만큼, 유출 정보의 민감도와 규모, 책임 소재부터 순서대로 확인하는 게 먼저다.
무슨 일이 있었나
10월 들어 국내 항공사의 고객 정보 유출이 잇따랐다. 대한항공과 아시아나항공은 글로벌 항공 IT 기업 아마데우스의 시스템이 해킹당해 고객 예약 관련 정보가 빠져나갔다고 밝혔다. 아마데우스는 약 200개 항공사가 쓰는 예약 시스템 사업자여서, 두 회사가 같은 시스템을 공유한 탓에 함께 피해를 봤다.
대한항공은 10월 20일 밤 아마데우스로부터 유출 사실을 통보받고 안전 조치에 들어갔다. 유출된 정보에는 예약번호 등이 포함됐지만, 카드번호 같은 결제정보와 항공사 자체 데이터베이스 침해 정황은 확인되지 않았다고 한다. 유출 추정 기간은 2023년 8월부터 2026년 9월 사이로, 정확한 규모와 시점은 아직 조사 중이다. 앞서 2025년 말에도 협력사 해킹으로 임직원 정보가 새어 나간 사례가 있었다.
유출이 실적에 닿는 세 갈래
Tima Miroshnichenko
투자자 입장에서 정보 유출이 숫자로 바뀌는 길은 크게 셋이다.
첫째는 과징금이다. 2026년 9월 11일 시행된 개정 개인정보보호법은 과징금 상한을 기존의 위반 관련 매출 3%에서 전체 매출액의 3%로 올렸다. 다만 10%까지 물리는 경우는 3년 내 반복 위반, 고의·중과실로 1,000만 명 이상 피해, 시정명령 불이행 세 가지로 제한된다. 보호를 위해 예산과 인력을 투자해 온 기업은 기준금액의 40%까지 감경받을 수 있다. 상한이 높아졌어도 실제 부과액은 사고의 성격에 따라 크게 달라진다는 뜻이다.
둘째는 손해배상이다. 이용자는 재산상 피해가 생기면 배상을 청구할 수 있다. 다만 예약번호 수준의 유출만으로 구체적 재산 피해를 입증하기는 쉽지 않아, 집단소송 가능성과 실제 배상 규모는 다른 이야기다.
셋째는 신뢰도다. 당장의 예약 심리에 영향을 줄 수는 있지만, 항공 수요는 가격과 노선에 더 민감해 유출 한 건이 점유율을 오래 흔드는 경우는 드물다.
주가 반응과 실적은 시점이 다르다
사고가 공시되면 주가는 대체로 먼저 출렁인다. 이것은 불확실성에 대한 심리적 반응에 가깝다. 반면 과징금은 당국 조사와 의결을 거쳐야 하고, 소송은 더 길다. 실제 실적에 숫자로 반영되는 시점은 공시 당일이 아니라 수개월에서 수년 뒤다.
둘을 섞으면 판단이 흔들린다. 공시 당일의 하락을 곧바로 실적 악화로 단정하거나, 반대로 당일 반등을 리스크 소멸로 읽는 것 모두 성급하다.
공시가 뜨면 이 순서로 확인하라
- 유출 정보의 민감도: 결제·여권정보가 포함됐는지. 예약번호 수준이면 배상과 과징금 리스크는 상대적으로 낮다.
- 유출 규모: 피해 인원이 1,000만 명에 접근하는지. 과징금 상한을 끌어올리는 기준선이다.
- 책임 소재와 통지 시점: 자체 시스템인지 협력사인지, 유출을 인지한 뒤 지체 없이 알렸는지. 지연 통지는 별도 제재 사유가 된다.
- 당국 대응과 감경 요건: 개인정보위 조사 착수 여부와 회사의 보안 투자 이력.
- 영업 지표: 이후 예약률과 탑승률이 실제로 흔들리는지. 신뢰도 타격은 여기서 드러난다.
이번 사고는 결제정보가 빠졌고 협력사에서 발생했다는 점에서, 헤드라인의 강도와 실제 실적 충격이 다를 수 있는 전형적인 사례다. 숫자가 확정되기 전까지는 과징금 요건과 책임 소재를 지켜보는 편이 현실적이다.