[단독]부킹닷컴 예약자에 스미싱 빗발…“해킹 2차 피해 심각”

글로벌 예약 플랫폼, 지난달 해킹 추정
“결제에 이상” “예약 재확인” 메시지로
국내 호텔 예약자도 피싱 사례 속출

해커들은 호텔 담당자 ‘린다’라는 거짓 신분을 사칭해 ‘결제에 이상이 생겼다’, ‘예약 취소 방지를 위해 재확인이 필요하다’며 피싱 링크 접속을 유도한다. 사진=제보자 제공

지난 4월 글로벌 여행 예약 플랫폼 부킹닷컴이 해킹 가능성을 인정한 이후, 국내 호텔에서도 2차 피해가 발생하고 있다는 주장이 나왔다.

서울시 한 호텔 관계자는 11일 동아닷컴에 “개인정보 유출로 인한 2차 피해가 심각하다”고 밝혔다.

최근 부킹닷컴을 통해 숙박을 예약한 많은 고객들이 정확한 전화번호와 예약 정보를 이용한 스미싱 메시지를 받고 있다. 스미싱 메시지는 주로 왓츠앱을 통해 발송됐다.

해커는 호텔을 사칭해 ‘결제에 이상이 생겼다’, ‘예약 취소 방지를 위해 재확인이 필요하다’며 피싱 링크 접속을 유도한다. 다수의 스미싱 피해 고객들은 “예약에 문제가 있다는 호텔 담당자 메시지를 받았다”며 호텔 측에 진위 여부 확인을 요청해왔다.

호텔 관계자는 “아고다, 익스피디아, 호텔 자체 홈페이지 등 다른 채널을 통한 예약자에게는 스미싱 문제가 없다”면서 최근의 고객 민원들이 부킹닷컴 해킹으로 인한 피해로 보인다고 동아닷컴에 말했다.

일부 고객은 금전 피해를 당하기도 했다. 한 피해 고객은 “스미싱에 속아 980달러가 결제됐다”며 항의했다.

호텔 관계자는 “고객 피해를 막기 위해 부킹닷컴을 통해 예약한 고객들에게 일일히 안내 메시지를 보내며 사투를 벌이고 있었다”고 토로했다. 다만 호텔 측의 강력한 항의에 현재는 부킹닷컴에서 예약 고객에서 경고 메시지를 일괄 전송하는 것으로 결정됐다.

이 같은 스미싱 피해는 서울 시내 다른 주요 호텔 및 해외 숙박 업소에서도 발생하고 있는 것으로 확인됐다. 지난달 BBC 등 외신도 부킹닷컴을 이용하는 일부 고객들이 ‘예약 탈취’ 사기 피해를 겪고 있다고 보도했다.

유출된 정보를 이용한 2차 피싱 피해는 이미 보안 전문가들에 의해 예견된 바 있다. 한국정보공학기술사회 오세혁 기술사는 “이러한 2차 피해를 예방하기 위해서는 제공된 링크가 유사 또는 피싱 도메인인지 살피고, 번거롭더라도 공식 상담센터를 통해 진위여부를 직접 확인하는것을 권고한다”고 강조했다.

이와 관련해 부킹닷컴은 동아닷컴에 “고객 개인정보 보호는 부킹닷컴의 최우선 과제이며, 고객 예약 정보를 안전하게 보호하기 위해 기존 보안 시스템을 지속적으로 강화 및 확대해 나가고 있다”고 답했다.

이어 “최근 사이버 범죄자들이 왓츠앱을 통해 여행객 대상 피싱 사기를 시도하는 사례가 확인되고 있다”면서 “의심스러운 메시지를 받으신 경우, 링크를 클릭하거나 개인정보를 제공하지 말고 24시간 연중무휴 운영되는 고객지원팀으로 문의해달라”고 밝혔다.