부킹닷컴 스미싱 확산… “예약 확인은 공식 채널서 해야”

실제 숙박 예약정보 악용해 호텔 직원 사칭…결제정보 입력 유도

부킹닷컴(Booking.com) 일부 예약 정보에 승인되지 않은 제3자가 접근한 정황이 확인된 뒤, 이를 악용한 스미싱 문자가 유포되고 있다. 실제 숙박 예약정보를 바탕으로 호텔 직원을 사칭하는 방식이라 주의가 필요하다.

한국인터넷진흥원(KISA) 국민피해대응단 스미싱대응팀은 최근 여행 예약 플랫폼 해킹으로 유출된 숙박 예약정보 등 개인정보를 활용한 스미싱 메시지가 유포되고 있다며 2차 피해 예방을 당부했다.

부킹닷컴 메인화면 / 부킹닷컴 홈페이지 갈무리

이번 스미싱은 숙박 예약정보를 악용해 문자메시지나 메신저로 유포되고 있다. 공격자는 호텔 관리자나 직원을 사칭해 "결제 문제가 발생했다"거나 "예약 취소를 막으려면 재확인이 필요하다"는 식으로 문자를 보내며 접근한다. 이후 공식 사이트와 비슷하게 꾸민 피싱 주소로 접속을 유도하고, 카드 정보 등 결제정보 입력을 요구한다.

부킹닷컴은 지난 4월 일부 고객에게 예약정보 유출 가능성을 안내한 바 있다. 당시 테크크런치 등 외신은 해커가 부킹닷컴 고객 데이터에 접근했다고 보도했다. 노출 가능 정보에는 이름, 이메일 주소, 전화번호, 예약 세부정보, 숙소와 주고받은 내용 등이 포함됐다. 부킹닷컴은 의심스러운 활동을 발견한 뒤 문제를 차단하고 영향을 받을 수 있는 예약의 PIN 번호를 변경했다고 밝혔다. 다만 피해 고객 수는 공개하지 않았다. 금융정보는 유출 범위에 포함되지 않은 것으로 알려졌다.

문제는 스미싱 메시지 내용이 실제 예약 내역과 맞아떨어질 수 있다는 점이다. 이용자 이름, 연락처, 숙박 일정, 숙소명 등 예약정보가 활용되면 정상 안내로 오인하기 쉽다. 결제사기나 송금 피해로 이어질 가능성도 있다.

이용자는 부킹닷컴이나 숙소를 사칭한 문자·메신저에서 결제 오류나 예약 재확인을 요구하더라도 메시지에 포함된 링크를 누르지 말아야 한다. 예약 상태는 부킹닷컴 공식 앱이나 공식 웹사이트에 직접 접속해 확인해야 한다. 출처가 불분명한 사이트 주소는 클릭하지 않고 바로 삭제하는 것이 안전하다.

특히 휴대전화 번호, 아이디, 비밀번호 등 개인정보는 신뢰할 수 있는 사이트에만 입력해야 한다. 본인확인 인증번호도 타인에게 전달하면 안 된다. 정부기관이나 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않는다는 점도 유념해야 한다. 정상 앱마켓에 등록된 앱이라도 문자나 전화 안내에 따라 설치를 요구한다면 주의해야 한다.

스미싱 유포 예상 문구 / 한국인터넷진흥원(KISA)

한편 의심 문자를 받았다면 스마트폰 문자 수신 화면의 '스팸으로 신고' 기능을 활용하거나 전기통신금융사기 통합신고대응센터, 보호나라 카카오톡 채널의 '스미싱·피싱 확인서비스'를 통해 신고·확인할 수 있다. 악성 앱 감염이나 정보 유출이 의심되면 이동통신사의 '번호도용문자차단서비스'를 신청해 피해자 번호가 추가 스미싱 발송에 악용되는 것을 막아야 한다.

이미 링크를 눌러 개인정보나 결제정보를 입력했다면 통신사 고객센터에서 모바일 결제 내역을 확인하고 카드 정지·비밀번호 변경 등 추가 피해 차단 조치를 해야 한다. 문자 속 주소로 앱을 설치했다면 모바일 백신으로 악성 앱 여부를 점검하고, 이상이 발견되면 비행기 모드로 전환한 뒤 112나 한국인터넷진흥원 인터넷침해대응센터(국번 없이 118)에 신고하는 것이 안전하다.

정종길 기자
jk2@chosunbiz.com