"예약 정보 확인해 주세요"…여름철 숙박 앱 사칭한 사기 기승

KISA, 여행 정보 플랫폼 관리자 사칭한 스미싱 문자 주의 당부
해킹 사고 늘어나며 스미싱 문자도 정교해지는 추세

ⓒ 뉴스1 윤주희 디자이너

(서울=뉴스1) 김민재 기자 = 연휴와 여름 휴가철을 앞두고 숙박 시설 관리자를 사칭한 피싱 공격이 늘고 있다. 보안 당국은 의심스러운 URL 접속을 피하고 메시지를 즉시 삭제할 것을 당부했다.

25일 한국인터넷진흥원(KISA)에 따르면 최근 여행 예약 플랫폼 해킹으로 유출된 정보를 악용한 스미싱 메시지가 유포되고 있다.

공격자는 "결제 문제로 예약에 차질이 생겼다"라거나 "예약 세부 사항을 확인해달라"는 문구를 포함한 문자를 보낸다.

이들은 호텔 관리자를 사칭해 카드 정보 인증이 필요하다며 메시지를 전송한다. 이후 사용자를 공식 사이트와 유사한 피싱 사이트로 유도해 결제 정보를 입력하도록 한다.

KISA는 이번 스미싱이 최근 발생한 여행 예약 플랫폼 해킹 사고와 연관된 것으로 보고 있다.

로이터 등 외신에 따르면 글로벌 여행 예약 플랫폼 '부킹닷컴'은 지난 4월 승인되지 않은 제3자가 일부 투숙객 예약 정보에 접근한 정황을 포착했다고 공지했다.

유출 가능성이 있는 정보는 이름과 이메일 주소, 전화번호 및 예약 정보 등이다. 부킹닷컴 측은 "금융 정보는 유출되지 않았다"면서도 해킹 피해 규모는 공개하지 않았다.

KISA는 보호나라 카카오톡 채널 내 '스미싱·피싱 확인서비스'를 이용해 신고하고 악성 문자인지 여부를 판별하라고 권고했다.

스미싱 피해를 예방하기 위해서는 출처가 불분명한 사이트 주소를 클릭하지 말고 삭제하라고도 당부했다.

의심스러운 사이트 주소는 정상 사이트와 일치 여부를 확인하고, 본인확인 인증 번호는 타인에게 전달하지 말아야 한다.

자신의 연락처가 스미싱 문자 발송에 도용되는 걸 막기 위해서는 이동통신사 부가서비스인 '번호 도용 문자 차단 서비스'를 활용하면 된다.

ⓒ 뉴스1 윤주희 디자이너

이처럼 특정 대상의 상세 정보를 활용하는 '스피어 피싱'은 갈수록 정교해지는 추세다.

해킹으로 확보한 이용자의 실명과 예약 내역이 공격 시나리오에 구체성을 더하면서 이용자가 사기 여부를 판단하기 더욱 어려워졌기 때문이다.

실제로 국내 개인정보 유출 사고는 최근 급증하고 있다.

국회 과학기술정보방송통신위원회 소속 박충권 국민의힘 의원이 과학기술정보통신부로부터 받은 자료에 따르면, 지난해 접수된 국내 해킹 사고 신고는 총 2383건이다. 이는 2021년(640건)의 4배에 육박한다.

한 보안업계 관계자는 "공격자가 확보한 사용자의 실명과 구체적인 예약 내역은 공격 시나리오의 신뢰도를 높여 이용자가 사기 여부를 판단하기 어렵게 만든다"고 말했다.

이 관계자는 "해킹과 피싱이 결합한 연쇄적 공격이 고도화되는 추세인 만큼, 기업과 정부 차원의 보안 강화와 개인의 각별한 주의가 요구된다"고 덧붙였다.

minjae@news1.kr

<용어설명>

■ 스피어 피싱
개인이나 조직을 특정해서 공격하는 피싱 유형. 주로 피해자를 속여 민감한 정보를 탈취하거나 악성 소프트웨어를 내려받도록 유도한다. 미리 수집한 개인 정보를 활용해 피싱 이메일을 제작하기 때문에 수신자는 신뢰할 수 있는 내용으로 판단할 확률이 높다.