난데없이 수백달러 결제…전세계 '부킹닷컴' 고객 정보 털렸다

일본에서 숙박예약 사이트 '부킹닷컴'을 통해 호텔 등 숙박시설의 단말기가 해킹돼 예약객의 신용카드 정보가 빠져나가는 피해가 속출하고 있다고 아사히신문이 12일 보도했다. 네덜란드의 부킹닷컴 본사는 비슷한 피해가 세계 곳곳에서 일어나고 있다고 인정했다.

일본 부킹닷컴 홈페이지 메인 화면. 사진 부킹닷컴 화면 캡처

보도에 따르면 지난 5월부터 일본의 최소 68개 호텔이 해킹 피해를 당했다. 피해 업체들에 따르면 여행자를 사칭한 누군가로부터 호텔에 찾아가는 방법 등을 묻는 영문 이메일이 도착한다. 메일을 열면 컴퓨터가 바이러스에 감염되면서 부킹닷컴에서 사용하는 호텔의 ID와 패스워드가 빠져나간다.

이후 누군가 ID와 패스워드를 이용해 부킹닷컴에 접속해 여행자에게 '사전결제가 필요하다'는 내용의 메시지를 전송한다. 이를 받은 여행자들이 가짜 부킹닷컴 사이트에 접속해 카드 정보 등을 입력하면 개인정보가 빠져나가는 전형적인 '피싱' 수법이다.

이와 같은 방식으로 현재까지 일본에서만 68개 이상의 호텔이 피해를 당했고, 주로 일본을 찾은 외국인 관광객의 정보가 유출된 것으로 보인다고 아사히는 전했다. 아사히에 따르면 올해 봄 일본 간사이(関西) 지역의 대형 호텔을 예약한 대만 남성에게 부킹닷컴 앱을 통해 호텔에서 영문 메시지가 도착했다.

메시지엔 '예약을 확정하려면 지불이 필요하다' '결제 방법을 선택하라' 등이 적혀 있었고 남성은 사이트에 들어가 신용카드 번호와 전화번호를 입력했다. 며칠 후 약 400달러의 알 수 없는 결제가 이뤄진 것으로 나타났다. 평소와 다른 결제 내용을 의심한 카드 회사의 연락으로 실제 현금 인출로는 이어지지 않았다고 한다.

네덜란드에 있는 부킹닷컴 본사는 아사히에 비슷한 수법에 의한 피해가 세계 곳곳에서 일어나고 있다고 밝혔다. 첫 사례는 지난해 11월쯤 유럽에서 일어났는데 이후 코로나19로 인한 여행 제한이 완화되면서 미국과 아시아, 호주까지 퍼졌다. 부킹닷컴 측은 "피해가 확인되면 보상하겠다"는 방침을 밝혔으나 정확한 피해 규모나 금액은 공개하지 않았다.

아사히에 따르면 일본 사이버시큐리티 기업 '랙'은 호텔의 상담을 받아 분석한 결과 러시아계 해커에 의한 소행으로 보인다고 진단했다. 한 숙박 시설에 도착한 문의 메일 일부에서 러시아어 설명이 발견됐다는 것이다. 전문가들은 이용자들의 주의를 요청하는 한편, 호텔 등에 ID와 패스워드가 도난당하더라도 다른 인증 수단을 조합해 부정 액세스를 막는 '2단계 인증'의 도입을 권고하고 있다.

도쿄=이영희 특파원 misquick@joongang.co.kr