오랜만에 떠나는 해외여행, 설레는 마음에 공항에서 탑승권을 찍어 SNS에 올려본 적 있으신가요? 이름이나 편명은 스티커로 살짝 가렸으니 안전하다고 생각하기 쉽습니다. 그런데 영문 성과 6자리 예약번호만으로 내 여권번호와 결제 내역까지 전부 털릴 수 있다는 사실, 알고 계셨나요?
한눈에 보기
- 항공권 예약 시스템은 별도 비밀번호 없이 ‘영문 성’과 ‘6자리 예약번호(PNR)’만으로 접속됩니다.
- 탑승권 바코드는 암호화되지 않은 평문이라 일반 스마트폰 무료 앱으로 1초 만에 해독됩니다.
- 예약번호가 노출되면 여권번호 조회, 귀국편 무단 취소, 마일리지 도난 등의 피해를 입을 수 있습니다.
- SNS 인증샷은 절대 올리지 말고, 사용한 종이 탑승권은 바코드 부분을 가로세로로 잘게 찢어 버리세요.
비밀번호 없는 예약 조회, 50년 전 시스템의 비밀
항공권 예약 시스템은 마치 ‘누구나 번호만 알면 열 수 있는 낡은 목욕탕 사물함’과 같습니다. 포털 사이트나 금융 앱과 달리, 항공사 홈페이지는 별도의 비밀번호를 요구하지 않는 경우가 대부분입니다. 오직 승객의 ‘영문 성(Last Name)’과 ‘6자리 예약번호(PNR)’ 2가지만 입력하면 본인 인증이 통과됩니다.
왜 이런 취약한 구조를 유지하고 있을까요? 현재 전 세계 항공 예약의 90% 이상을 차지하는 아마데우스(Amadeus), 세이버(Sabre) 등 글로벌 여행 유통 시스템(GDS)은 1960년대에서 1980년대 메인프레임 전산망 시절에 개발되었습니다. 당시에는 여행사 단말기와 공항 카운터 직원만 접속하는 전용 폐쇄망이었기에 복잡한 비밀번호나 2단계 인증(MFA)이 필요하지 않았습니다.
문제는 이 반세기 전 구형 시스템 위에 현대 인터넷 웹사이트와 모바일 앱을 그대로 얹어 쓰면서 시작되었습니다. 시도 횟수 제한(Rate Limiting)조차 부실해, 공격자가 자동화 프로그램을 쓰면 6자리 무작위 조합을 수분 내에 알아낼 수 있는 구조적 결함이 여전히 남아 있습니다.
모자이크해도 1초 만에 털리는 탑승권 바코드
탑승권 하단에 인쇄된 직사각형 또는 2차원 바코드(BCBP 규격)를 주의 깊게 보셔야 합니다. 많은 분이 바코드를 일종의 암호화된 기호로 오해하지만, 실상은 기계가 빠르게 읽을 수 있도록 알파벳과 숫자를 단순히 변환한 ‘평문 데이터’에 불과합니다.
스마트폰의 무료 바코드 스캐너 앱을 켜고 탑승권을 비추면 단 1초 만에 정보가 쏟아져 나옵니다. 승객의 영문 이름, 6자리 예약번호(PNR), 항공편명, 출발지와 도착지, 좌석 번호, 항공사 회원번호까지 그대로 화면에 드러납니다.
바코드의 일부를 손가락이나 스티커로 가렸다고 안심해서는 안 됩니다. 2차원 바코드는 훼손에 대비한 자체 ‘오류 복원’ 기능이 내장되어 있어, 일부분이 가려져도 나머지 영역을 통해 데이터 전체가 복원될 수 있습니다.
예약번호 하나로 발생할 수 있는 실제 피해들
누군가 내 영문 성과 6자리 PNR을 손에 쥐면 항공사 웹사이트의 ‘예약 관리’ 메뉴를 제집 드나들듯 열어볼 수 있습니다. 단순한 개인정보 노출에 그치지 않고 심각한 금전적·물리적 피해로 이어집니다.
| 피해 유형 | 구체적 피해 내용 | 위험도 |
|---|---|---|
| 민감 정보 유출 | 여권번호, 여권 만료일, 생년월일, 국적, 카드 결제 내역, 동행자 정보 열람 | 높음 |
| 일정 및 좌석 변경 | 귀국편 취소 후 크레딧 탈취, 화장실 앞 중간 좌석으로 임의 변경 | 매우 높음 |
| 마일리지 계정 탈취 | 상용고객 번호로 계정 본인확인 우회 후 잔여 마일리지 무단 소진 | 높음 |
| 빈집 털이·표적 피싱 | 집을 비우는 정확한 일정 노출, 항공사 사칭 피싱 문자·전화 유인 | 높음 |
실제로 2026년 10월 글로벌 전산망 운영사 아마데우스의 계정 비인가 접근으로 국내 주요 항공사 고객의 PNR 유출 정황이 통보되기도 했습니다. 같은 해 8월에는 한 저비용 항공사 고객 100여 명의 이름과 여권번호가 검색 포털에 노출되는 사고가 일어났습니다. 다만 아마데우스 침해 사고의 경우 PNR 외에 여권번호 등 세부 항목이 어디까지 유출되었는지는 아직 구체적으로 확인되지 않았습니다.
소중한 여행을 지키는 3가지 실천 행동
탑승권은 현금이나 여권과 동일한 수준의 민감한 보안 문서로 취급해야 합니다. 대만 사이버보안청(ACS) 등 각국 보안 기관들이 탑승권 인증샷 게시 중단을 공식 권고하는 이유도 여기에 있습니다.
첫째, SNS에 탑승권 사진을 일절 올리지 마세요. 모자이크나 스티커로 바코드를 가려도 해독될 수 있으므로 실물 티켓을 찍어 올리는 행동 자체를 멈춰야 합니다. 풍경이나 여권 커버만 찍는 것이 안전합니다.
둘째, 비행을 마친 종이 탑승권은 호텔이나 공항 쓰레기통에 통째로 버리지 마세요. 바코드와 예약번호가 적힌 부분을 가로세로로 잘게 찢거나 파쇄기에 넣어 폐기해야 합니다. 일부 미국 항공사(사우스웨스트 등)가 자체 암호화를 적용한다는 이야기가 있지만, 전 세계 항공사의 공식 적용 비율은 집계된 바 없으므로 모든 탑승권은 암호화되지 않았다고 여기는 편이 안전합니다.
지금 SNS에 올려둔 탑승권 사진이 있다면 즉시 삭제하고, 여행 가방 속에 둔 종이 탑승권은 바코드를 찢어 안전하게 버리세요.