호텔 예약 피싱은 더 이상 “수상한 링크를 조심하라”는 수준의 문제가 아닙니다. 공격자는 실제 예약자 이름, 숙소명, 체크인·체크아웃 일정, 결제 맥락처럼 사용자가 신뢰할 만한 정보를 섞어 메시지를 보냅니다. 그래서 피해자는 사기라고 의심하기보다 “예약 확인 절차가 하나 더 있나 보다”라고 받아들이기 쉽습니다.
이 유형의 핵심은 정보가 진짜처럼 보인다는 점이 아니라, 요청 방식이 정상적인지 확인해야 한다는 점입니다.
왜 호텔 예약 피싱은 더 설득력 있어졌나
도부 호텔은 Booking.com으로 예약한 일부 고객이 WhatsApp 등 메신저로 예약 확인을 가장한 의심 메시지를 받았다고 공지했습니다. 해당 메시지는 신용카드 정보 입력을 요구하는 형태였고, 포함된 URL이 악성 피싱 사이트로 연결될 수 있다고 경고했습니다.1
호텔 그란비아 오사카도 유사한 사례를 알렸습니다. Booking.com 예약 고객 일부가 WhatsApp 등 메신저 앱으로 예약 확인을 사칭한 메시지를 받았으며, 호텔 측은 메시지에 포함된 링크에 접속하지 말라고 안내했습니다.2
여기서 중요한 판단 기준은 “내 예약 정보를 알고 있느냐”가 아닙니다. 두 호텔 모두 예약 또는 결제 정보와 관련해 메신저 앱으로 고객에게 직접 연락하지 않는다고 밝혔습니다.12 즉, 메시지에 실제 예약 정보가 들어 있어도 결제 정보 입력을 요구하거나 외부 링크로 유도한다면 의심해야 합니다.
공격은 고객 메시지에서 시작되지 않는다
고객에게 도착한 피싱 메시지만 보면 단순한 사칭처럼 보일 수 있습니다. 하지만 이 유형은 보통 숙박업체 계정이나 예약 데이터가 악용될 때 훨씬 정교해집니다.
Microsoft는 2024년 12월부터 Booking.com을 사칭해 숙박업계를 겨냥한 피싱 캠페인을 확인했다고 밝혔습니다. 공격자는 가짜 CAPTCHA나 사용자가 직접 명령어를 실행하게 만드는 ClickFix 기법 등을 이용해 악성코드를 설치하도록 유도했습니다.3
호텔 직원이나 숙박업체 계정이 먼저 노출되면, 공격자는 고객에게 더 그럴듯한 메시지를 보낼 수 있습니다. 실제 숙소명과 예약 일정이 포함된 “카드 재확인”, “예약 취소 방지”, “결제 확인” 메시지가 만들어지는 구조입니다. Norton 역시 여러 국가의 호텔, 휴가용 임대시설, 모텔, 게스트하우스가 예약 하이재킹 사기에 연루됐다고 분석했으며, 피싱 메시지와 웹사이트에 실제 예약자 정보와 예약 세부 정보가 포함됐다고 밝혔습니다.4
확인해야 할 것은 내용보다 요청 방식이다
예약 관련 메시지를 받았을 때 가장 안전한 대응은 간단합니다. 메시지 안의 링크를 누르지 말고, 공식 앱이나 웹사이트에 직접 접속해 확인하는 것입니다. 주소를 직접 입력하거나 이미 설치된 공식 앱을 열어 예약 상태를 확인해야 합니다.
특히 다음과 같은 요청은 강하게 의심해야 합니다.
WhatsApp, 문자, 이메일 링크를 통해 카드 정보를 다시 입력하라는 요청
“예약이 취소될 수 있다”며 즉시 결제를 요구하는 메시지
공식 사이트처럼 보이지만 주소가 낯선 결제 페이지
호텔이나 예약 플랫폼을 사칭하며 메신저로 결제 정보를 요구하는 연락
Booking.com은 이메일, 전화, WhatsApp, 문자로 신용카드 정보를 요구하지 않는다고 안내했습니다.4 호텔에서 온 것처럼 보이는 메시지라도 결제나 카드 정보 입력을 요구한다면, 메시지에 답하지 말고 공식 웹사이트에 표시된 연락처로 직접 확인하는 편이 안전합니다.
숙박업체도 ‘고객 안내’가 보안의 일부다
이번 사례는 고객만의 문제가 아닙니다. 숙박업체는 예약 플랫폼 계정 보호와 함께 고객에게 명확한 커뮤니케이션 기준을 알려야 합니다.
도부 호텔은 보안 조치로 Booking.com 및 기타 온라인 예약 사이트의 비밀번호를 정기적으로 변경하겠다고 밝혔습니다.1 호텔 그란비아 오사카는 Booking.com과 함께 사안을 조사 중이라고 안내했습니다.2 이런 조치와 더불어 “호텔은 메신저로 결제 정보를 요청하지 않는다”는 원칙을 고객에게 반복적으로 알리는 것도 중요합니다.
이번 유형의 교훈은 분명합니다. 피싱은 더 이상 어설픈 가짜가 아닙니다. 진짜 정보가 섞일수록 사용자는 더 쉽게 속습니다. 따라서 예약 정보가 맞는지를 보는 것만으로는 부족합니다. 앞으로는 누가, 어떤 채널로, 무엇을 요구하는지를 기준으로 판단해야 합니다.
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.