대한항공 기내식 협력사 KC&D 해킹 개인정보 유출 사건

대한항공의 기내식·기내판매 서비스를 담당하던 계열사 KC&D서비스는 2020년 12월 사모펀드 운용사 한앤컴퍼니에 분리 매각됐다. 분사 당시 대한항공 임직원들의 성명과 계좌번호 등 개인정보가 담긴 회사 서버가 함께 이관됐다. 이 서버에 남아있던 옛 대한항공 임직원 정보가 5년 뒤 벌어진 해킹 사고에서 유출되는 근본 원인이 됐다. 계열사 분리 이후에도 과거 임직원 정보가 제대로 파기되거나 별도 관리되지 않았던 점이 사후에 문제로 지적됐다.

2025년 12월 22일 KC&D서비스는 외부 해커그룹으로부터 회사 서버가 해킹당한 사실을 처음 인지했다. 이후 내부적으로 피해 조사를 진행하며 유출 규모와 경로를 파악하는 작업에 착수했다. 해킹은 대한항공의 기내식·기내판매를 담당해온 협력업체의 서버를 통해 이뤄진 것으로, 대한항공 본사 시스템이 직접 뚫린 것은 아니었다. 그러나 협력업체 서버에 대한항공 임직원들의 개인정보가 남아있었다는 점에서 원청 기업의 협력사 보안 관리 책임 문제가 제기됐다.

KC&D서비스는 내부 조사를 거친 뒤 2025년 12월 26일 대한항공 측에 임직원 개인정보 유출 피해 사실을 전달했다. 우기홍 대한항공 부회장은 이날 사내 공지를 통해 협력업체로부터 개인정보 유출 피해 사실을 전달받았다고 임직원들에게 알렸다. 유출된 정보는 대한항공 임직원들의 이름, 전화번호, 계좌번호 등이었으며, 고객 정보는 포함되지 않은 것으로 파악됐다. 대한항공은 통보를 받은 즉시 KC&D와의 서비스 연동 안전성 점검 등 긴급 보안 조치에 나섰다.

통보를 받은 대한항공은 즉시 KC&D서비스와의 서비스 연동 안전성을 점검하는 등 긴급 보안 조치에 나섰다. 회사는 추가 피해를 막기 위해 협력업체와의 데이터 연동 구간을 전반적으로 재점검했다고 밝혔다. 아울러 한국인터넷진흥원(KISA) 등 관계기관에 해당 유출 사실을 선제적으로 신고해 사고 조사에 협조했다. 대한항공은 유출된 정보가 고객 정보가 아닌 임직원 정보에 한정된다는 점을 재차 확인하며 2차 피해 예방에 주력했다. 이러한 신속한 신고와 조치는 이후 공식적인 사과와 언론 공개로 이어지는 절차의 토대가 됐다.

2025년 12월 29일 대한항공의 기내식 협력업체 KC&D서비스가 해킹당해 임직원 개인정보 3만여 건이 유출된 사실이 언론을 통해 공개됐다. KC&D서비스는 대한항공에 피해 사실을 알린 뒤 공식적으로 사과했다. 대한항공은 관계기관에 해당 내용을 선제적으로 신고했으며 한국인터넷진흥원(KISA)에도 사고를 접수했다고 밝혔다. 항공사 본사가 아닌 협력업체를 통한 개인정보 유출이라는 점에서, 대형 기업의 공급망 보안 관리 체계에 대한 경각심을 높인 사례로 평가됐다.