여행의 설렘을 노리는 사이버 범죄가 늘고 있다. 카스퍼스키는 여행객을 겨냥한 위협이 급증하고 있다며, 여행 정보와 디지털 보안 수칙을 함께 담은 '카스퍼스키 안전 여행 인사이트(Kaspersky Safe Travel Insights)'를 공개했다.
여행을 준비하고 예약하는 전 과정이 디지털 플랫폼 위에서 이뤄지면서 여행객은 그만큼 공격에 노출되고 있다. 카스퍼스키에 따르면 지난 1년간 인기 여행 브랜드를 사칭한 공격 시도만 약 27만 건이 탐지됐다. 특히 표적이 된 것은 교통 브랜드다. 항공사와 차량 호출 서비스, 온라인 여행사를 오가며 더 싼 상품을 찾느라 촉박하게 결정을 내리는 여행객의 습관이, 오히려 사이버 범죄자에게는 빈틈이 된다. 익숙한 브랜드라는 신뢰와 서두르는 심리가 겹치는 순간을 노려, 공격자들은 피싱 페이지와 가짜 앱, 허위 할인·예약 제안으로 정상 서비스인 척 접근한다.
수치가 이를 뒷받침한다. 카스퍼스키 연구진이 2025년 2분기부터 2026년 1분기까지 주요 교통 브랜드 사칭 위협을 분석한 결과 탐지 건수는 26만 2663건에 달했다. 이 중 에미레이트항공을 사칭한 공격이 61%, 우버가 37%로, 단 두 브랜드가 전체의 98%를 차지했다. 이용자가 많고 결제가 잦은 대중적 서비스일수록 공격이 집중된다는 의미다. 노림수는 예약 정보에만 그치지 않는다. 위협 유형을 보면 트로이목마가 30.5%로 가장 많았고, 은행 계정과 결제 정보를 탈취하도록 만들어진 트로이목마-뱅커가 22.5%로 뒤를 이었다. 교통 브랜드를 사칭한 공격자들이 사실상 여행객의 지갑까지 직접 겨누고 있는 셈이다.
수법은 갈수록 교묘해지고 있다. 대표적으로 아일랜드 항공사 라이언에어를 사칭해 '항공편 보상금을 받을 수 있다'고 속이는 사례가 발견됐다. 보상 자격이 있다는 메시지로 접근한 뒤 계정 정보를 빼내거나 '처리 수수료' 명목의 소액 결제를 요구하는 식이다. 가짜 제안을 몇 초 뒤 만료되는 것처럼 꾸며 판단할 겨를을 주지 않는 것이 핵심이다. 카스퍼스키는 이런 극단적 시간 압박이 대표적 위험 신호라며, 정상적인 보상 청구는 이렇게 촉박하지 않고 항공사가 환불에 앞서 수수료를 요구하지도 않는다고 강조했다.
예약·숙박 서비스를 위장한 공격은 규모는 작아도 위험은 뚜렷했다. 같은 기간 관련 공격 시도 5414건이 탐지됐으며, 이 중 트로이목마가 54.6%로 절반을 넘었다. 여행 서비스 계정에는 결제 정보와 개인정보는 물론 예약 이력, 숙소·액티비티 업체와 나눈 대화까지 담겨 있어 공격자에게는 놓치기 아까운 표적이다.
부킹닷컴(Booking.com)을 사칭한 사례도 확인됐다. 실제와 구분하기 어려운 가짜 예약 페이지로 유도해 개인정보와 결제 정보를 입력하게 하지만, 정작 예약은 성사되지 않고 확인 메일도 오지 않으며 결제 금액만 범죄자에게 넘어간다. 결제 화면을 워낙 정교하게 흉내 내다 보니, 피해자는 여행지에 도착해 예약이 없다는 사실을 확인하고서야 뒤늦게 사기를 알아차리는 경우가 많다.
예브게니 쿠스코프 카스퍼스키 수석 보안 연구원은 "여행 브랜드는 신뢰와 긴급성, 결제 활동이 한데 겹치는 독특한 환경에 놓여 있어 사이버 범죄자에게 매우 매력적인 표적"이라며 "빠르게 움직이며 여러 탭에서 가격을 비교하는 여행객은 좋은 조건의 상품이나 계정 문제처럼 보이는 내용에 쉽게 클릭할 수 있다"고 말했다. 이어 "가장 많이 공격받은 브랜드가 차량 호출부터 종합 항공사까지 성격이 완전히 다르다는 점이 눈에 띈다"며 "이는 공격자들이 특정 분야가 아니라 광범위한 대상을 노리고 있음을 보여준다"고 덧붙였다.
이효은 카스퍼스키 한국지사장은 "국내에서도 해외여행이 늘면서 사이버 범죄자들이 서둘러 결정을 내리는 여행객의 상황을 악용하고 있다"며 "잘 알려진 여행 브랜드를 모방해 결제 정보 입력을 유도하고, 현지에서는 공용 와이파이나 검증되지 않은 QR 코드를 통해서도 위험이 생길 수 있다"고 우려했다. 이어 "물리적 안전에는 신경 쓰면서 디지털 위협은 간과하기 쉽다"며 "여행 전 과정에서 출처의 진위를 확인하고 다층적 보호 기능을 활용하면 개인정보와 금융 정보를 지킬 수 있다"고 조언했다.
카스퍼스키가 공개한 안전 여행 인사이트는 여행 관련 피싱과 결제 사기부터 안전하지 않은 공용 와이파이까지 다양한 위험을 짚고, 여행을 계획·예약하고 즐기는 단계별로 지킬 수 있는 실용적 조언을 제공한다. 아울러 카스퍼스키는 △공식 웹사이트·앱을 통한 직접 예약 △결제 전 URL 재확인 △지나치게 좋은 조건이나 비정상적 결제 요구 경계 △강력한 고유 비밀번호와 다중 인증(MFA) 활성화 △공식 앱스토어에서만 앱 설치 △예약 후 은행·카드 명세서 확인 △검증된 출처의 QR 코드만 스캔 등을 여행 사기 예방 수칙으로 제시했다.
헬로티 구서경 기자 |
