휴가/해외결제 피싱 대응: 가짜 사이트·스미싱·보이스피싱 점검표

서론

여름 휴가철이 다가오면 여행 예약 관련 사기 수법도 함께 급증한다. 2025년 스미싱 발생 건수는 2,685건으로 최근 5년 평균 대비 23.3% 증가했으며, 2024년에는 4,396건에 달해 2021년(1,336건) 대비 약 3.3배 늘었다. 2026년 5월 기준 신규 여행 관련 도메인 47,318개가 등록되며 전월 대비 33% 증가했다. 휴가철이 곧 시작되는 시점, 여행 예약과 해외결제를 노리는 다양한 피싱 수법을 점검해본다.

본론

스미싱·피싱의 진화: 단순 링크에서 정밀 타격으로

과거 스미싱은 '당첨 안내', '택배 미수령' 같은 범용성 수법이 주를 이뤘다. 최근 여행 관련 스미싱은 유출된 실제 예약 정보를 바탕으로 한다. 호텔명, 숙박 일정, 여행 경로 등 피해자 고유의 정보가 메시지에 포함되면서 신뢰도가 극대화된다.

WhatsApp 스미싱 사례: 30대 직장인 A씨의 경우 이탈리아 여행 전 호텔 예약 정보(호텔명, 숙박 일정)를 정확히 포함한 영문 WhatsApp 메시지를 받았다. '예약 정보가 맞으면 확인 버튼을 눌러 절차를 진행하라'는 안내를 따라 클릭한 가짜 피싱 URL에서 카드번호를 입력했다.

SNS 사칭 계정 DM 스미싱: 글로벌 여행 플랫폼의 공식 인스타그램 사칭 계정이 유창한 한국어로 환불 안내 메시지를 DM으로 보냈다. 구글 폼 링크를 통해 카드번호와 CVC를 입력하도록 유도했으며, 피해자는 카드 정보를 모두 유출당했다.

가짜 예약 사이트: AI가 만든 복제본

노드VPN 분석에 따르면 2026년 2월 기준 하루 평균 가짜 부킹닷컴 사이트가 약 40개 적발됐다. 여행 브랜드 사칭 탐지 건수 중 부킹닷컴이 75%를 차지한다. AI 기술로 복제된 사이트는 국가별 언어와 통화, 실제 숙소 정보까지 반영해 본가 구별이 거의 불가능할 수준이다.

자물쇠 표시(https)와 보안 인증서를 적용한 가짜 사이트도 존재한다. '오늘만 90% 할인', '지금 예약하지 않으면 마감' 등 결제 서두르기 문구와 결합하면 사용자의 경계심을 무너뜨리기 충분하다.

다크웹에서의 2차 피해 시장

유출된 여행 정보의 가치는 상당하다. 노드VPN과 세일리(Saily) 공동 연구에 따르면 다크웹에서 부킹닷컴 예약 정보 거래가는 250달러(약 36만원), 항공사 멤버십 계정 최대 200달러(약 29만원), 에어비앤비 계정 130달러(약 19만원) 수준이다. 도난 신용카드를 이용해 항공편·호텔을 결제한 뒤 40~60% 할인 가격에 재판매하는 2차 피해 시장도 존재한다.

해외 OTA의 보안 사각지대

부킹닷컴은 2026년 4월 일부 예약 정보 외부 노출 가능성을 경고했다. 트립닷컴, 아고다 등 일부 해외 OTA는 KISA 기준 ISMS-P 인증을 미획득한 상태다. 본사와 서버가 해외에 위치한 OTA는 국내 전자상거래법·소비자보호 규제 적용이 제한되며, 정보 유출 경로 규명과 책임 소재 입증도 복잡해 국내 소비자 피해 구제가 어려운 실정이다.

KISA·경찰청 경고 및 대응

KISA 보호나라는 2026년 5월 12일 '여행 예약 플랫폼 해킹으로 인한 스미싱 주의 권고'를 발령했다. 호텔 관리자 사칭, '결제 문제 발생'이나 '예약 취소 방지'를 이유로 한 재확인 문자, 공식 사이트와 유사한 피싱 URL로 결제 정보 입력 유도 등이 주요 수법으로 지목됐다.

대응 방안

즉각적 예방 조치

• 이메일, 문자, SNS DM에 포함된 출처 불확실한 URL은 절대 클릭하지 않는다
• 예약 정보나 결제 내역 확인은 메시지 내 링크가 아닌 공식 앱·웹사이트에서 직접 접속한다
• 구글 폼 등 외부 입력 폼에 카드번호, CVC 등 금융정보 입력을 금지한다
• SNS로 예약·환불·보상 절차를 요구하는 상담은 반드시 공식 채널에서 재확인한다

가짜 사이트 식별

• 도메인 철자 차이를 꼼꼼히 확인한다 (영문 l/I, 숫자 0/O 등 미세한 변형)
• 비정상적으로 높은 할인율에 경계한다
• 과도한 개인정보·금융정보 요구 시 즉시 창을 닫는다
• https·자물쇠 표시가 있어도 가짜일 수 있음을 인지한다

여행 중 보안 수칙

• 공공 와이파이는 VPN 활성화 후 이용하며, 금융거래는 이동통신망을 사용한다
• 공용 USB 포트 대신 개인 충전 어댑터와 보조배터리를 이용한다
• SNS에 탑승권·여행 일정 실시간 공유를 자제하고, 바코드와 예약번호는 가린다
• 보이스피싱으로 지인·가족 사칭 '결제 문제' 송금 요구 시 공식 채널로 본인 확인을 진행한다

피해 발생 시 조치

1. 카드사 고객센터에 연락해 카드 이용정지와 계좌 지급정지를 요청한다
2. 112(경찰청), 1332(금융감독원), 118(KISA 인터넷침해대응센터)에 신고한다
3. counterscam112.go.kr 전기통신금융사기통합신고대응센터에 접수한다
4. KISA 보호나라 카카오톡 채널 '스미싱·피싱 확인서비스'를 통해 악성 메시지 판별을 진행한다

결론

휴가철 여행 관련 피싱은 단순 링크 클릭 유도를 넘어 유출된 예약 정보를 기반으로 한 정밀 타격으로 진화했다. 가짜 예약 사이트는 AI 기술로 본가 구별이 불가능할 만큼 정교해졌고, 유출된 여행 정보는 다크웹에서 200달러 이상 거래되는 가치 있는 대상이 되었다. 가장 확실한 방어는 공식 채널을 통한 직접 접속과 출처 불확실한 링크에 대한 경계다. 여행 전 본문의 예방 체크리스트를 확인하고, 의심스러운 메시지는 KISA 보호나라에서 스미싱·피싱 확인서비스로 검증하기를 권장한다.

참고문헌

1. SK Shield US — 휴가철 피싱 예방법, 해외결제 문자 믿어도 될까?
   https://www.skshieldus.com/security-insights/trends/vacation-phishing-smishing-travel-security-guide

2. KISA 보호나라 — 여행 예약 플랫폼 해킹으로 인한 스미싱 주의 권고
   https://www.boho.or.kr/kr/bbs/view.do?nttId=72049

3. 한경 — 호텔 예약 확인하세요…30대 직장인 '완전히 당했다'
   https://www.hankyung.com/article/2026051970561

4. 뉴스1 — 여행 환불 묻자 DM 왔다…카드 정보 싹 털어간 신종 피싱
   https://www.news1.kr/industry/hotel-tourism/6239992

5. 디지털데일리 — 여름 휴가철, 가짜 예약 사이트 주의…개인정보 유출 피해도
   https://www.ddaily.co.kr/page/view/2026072809320793943

6. 노드VPN — 휴가철 가짜 예약 사이트 분석 및 다크웹 여행 정보 거래가 공동 연구

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.