"5월23일 호텔 확인하세요"…30대 직장인 '완전히 당했다'

이달 말 이탈리아 여행을 앞둔 30대 직장인 안모씨는 최근 와츠앱을 통해 한 영문 메시지를 받았다. 메시지에는 안씨가 A플랫폼을 통해 예약한 현지 호텔명과 숙박 일정이 정확히 적혀 있었다. 메시지는 “예약 정보가 맞으면 확인 버튼을 누르고 절차에 따르라”고 안내했다. 안씨는 “호텔 숙박 보증금 안내인 줄 알고 카드번호를 입력했는데 결제가 정상 진행되지 않아 뒤늦게 사기임을 알아챘다”며 “호텔명부터 숙박 일자까지 일치해 속기 쉬웠다”고 말했다.

◇예약 정보 새나가

스미싱 범죄가 업체 안내문으로 위장하는 등 정교한 수법으로 진화하고 있다. 택배, 과태료, 카드 결제 사칭처럼 불특정 다수를 노리던 방식에서 벗어나 숙소명과 예약 일정 등 구체적인 정보를 활용해 이용자를 속이는 형태로 교묘해지고 있다.

19일 경찰청에 따르면 지난해 발생한 스미싱은 2685건으로 최근 5년 평균인 2177건을 23.3% 웃돌았다. 2021년 1336건, 2023년 1673건 수준이던 스미싱은 2024년 4396건으로 급증했다.

해외 여행객을 겨냥한 스미싱이 기승을 부리고 있다. 이런 스미싱 수법은 예약 취소를 우려하는 여행객의 불안감을 자극하는 방식으로 이뤄진다. 해외 숙소 예약 등은 영어로 소통하는 경우가 많고, 현지 업체 정보를 즉시 확인하기도 쉽지 않아서다. 숙소명과 예약 일정 등 구체적인 정보를 활용하기 때문에 속을 수밖에 없다는 것이 피해자들의 공통된 이야기다.

지난 2월 한 여행커뮤니티에는 베트남 다낭의 한 호텔을 예약한 여행객들이 단체로 스미싱 의심 문자를 받았다는 글이 올라오기도 했다. 스미싱 문자를 받은 한 여행객은 “카드 결제가 잘못되는 것은 아닌지 불안했다”고 말했다.

◇해외 OTA, 보안 ‘사각지대’

해외 온라인여행플랫폼(OTA)을 통한 예약이 늘어나는 흐름도 스미싱 범죄 확산 우려를 키우고 있다. 최근 해외 여행객 사이에서는 단체 패키지보다 항공권과 숙소를 직접 예약하는 방식이 보편화하는 추세다. 모바일인덱스에 따르면 지난 3월 아고다 결제액은 2841억원으로 야놀자보다 3.4배 많았다.

해외 OTA를 둘러싼 정보 유출 사고도 심심찮게 발생하고 있다. 4월 글로벌 숙박 예약 플랫폼 부킹닷컴은 일부 예약 정보가 외부에 노출됐을 가능성을 알리며 이를 악용한 피싱 메시지에 주의하라고 이용자에게 당부했다.

문제는 정보 유출 경로 규명과 책임 소재 입증이 쉽지 않은 데다 글로벌 OTA 특성상 국내 이용자가 피해를 구제받기 어렵다는 점이다. 정보 유출 경로가 OTA가 아니라 개별 숙박업체일 가능성이 있는 데다, OTA 측 과실로 예약 정보가 외부에 유출됐더라도 국내 이용자가 본사와 서버를 외국에 둔 해외 OTA를 상대로 이를 입증해 피해 구제를 받긴 어렵다는 것이다. 또 해외 OTA는 본사와 서버를 해외에 두고 있어 국내 전자상거래법이나 소비자보호 규제 적용이 제한되는 경우가 많다.

매출 등이 일정 규모 이상이면 정보보호 관리체계(ISMS·ISMS-P) 인증을 의무적으로 받아야 하는 국내 업체와 달리 해외 OTA는 관련 규제 사각지대에 놓여 있다. 한국인터넷진흥원(KISA)에 따르면 이날 기준 트립닷컴과 아고다 등 일부 해외 OTA는 ISMS-P 인증을 받지 않았다. ISMS-P는 기업이 개인정보 보호와 정보보안 체계를 제대로 구축·운영하고 있는지를 인증하는 제도다.

구태언 법무법인 린 변호사는 “해외 플랫폼은 관할 국가와 적용 법령을 따지는 과정이 상당히 복잡하다”며 “소비자 피해 발생 시 국내 규제기관이 적극적으로 대응할 필요가 있다”고 말했다.

최영총 기자 youngchoi@hankyung.com