가짜 예약 사이트 vs 공식 홈페이지, 이것만으로 식별 가능할까?

가짜 예약 사이트를 구별하려면 공식 도메인이 아닌 변형된 URL, 복잡한 문자·숫자 조합, 그리고 1원이라도 선입금을 요구하는지 확인해야 합니다.

여행 성수기, 정교해진 예약 플랫폼 사칭 주의보

여름 휴가철 해외여행 예약이 늘면서, 이를 노린 피싱 공격도 점차 정교해지고 있습니다. 특히 심리를 자극해 링크 클릭과 정보 입력을 유도하는 웹뷰 피싱 수법이 확산하는 추세입니다. 최근 피싱 문자는 불특정 다수가 아닌 ‘OOO님’처럼 이름을 특정해 보냅니다. 실제 예약 상황을 아는 것처럼 위장해 신뢰도를 높이는 방식입니다.

이런 위협은 문자 메시지에 그치지 않고 실제 예약 정보 유출로 이어집니다. 다크웹에서는 부킹닷컴 예약 정보가 약 250달러(약 36만원), 항공사 멤버십 계정이 최대 200달러(약 29만원), 에어비앤비 계정이 130달러(약 19만원) 수준으로 거래됩니다. 유출된 정보는 다시 정교한 스미싱 공격의 재료가 됩니다. 이에 KISA 보호나라는 2026년 5월 12일 ‘여행 예약 플랫폼 해킹으로 인한 스미싱 주의 권고’를 내고 각별한 주의를 당부했습니다.

피싱 사이트의 도메인 변형 및 식별 수법

가짜 예약 사이트는 육안으로 구분하기 어려울 만큼 공식 홈페이지와 유사하거나 교묘하게 변형된 도메인을 씁니다.

1. 도메인 주소의 변형 패턴

공식 사이트는 기업 고유 도메인만 쓰지만, 피싱 사이트는 다른 특징을 보입니다.

• 유사 도메인 사용: 공식 도메인 뒤에 특정 단어를 붙입니다. 예를 들어 coupang.com이 아닌 coupang-event.kr과 같이 변형된 주소를 씁니다.
• 난수 조합 도메인: 의미 없는 복잡한 문자나 숫자 조합으로 도메인을 만들어 사용자를 헷갈리게 합니다.
• 단축 URL 활용: bit.ly 같은 단축 URL 서비스를 이용해 실제 목적지 주소를 숨깁니다.

2. 발신번호 및 메시지 구성의 특징

문자 메시지로 접근할 때는 발신처 정보를 먼저 확인해야 합니다.

• 개인 번호 발신: 기업 공식 알림은 주로 070, 15XX, 16XX 등 상업용 번호를 씁니다. 반면 피싱 문자는 대량 발송 차단을 피하려 010으로 시작하는 개인 휴대전화 번호로 위장해 보내는 경우가 많습니다.
• 법적 의무 표기 누락: 정상적인 광고 문자는 정보통신망법에 따라 ‘(광고)’ 문구와 수신 거부 번호를 밝혀야 합니다. 하지만 모바일 웹뷰 피싱 문자는 이런 표기가 없습니다.

공식 홈페이지와 가짜 사이트 구별 핵심 포인트

예약 과정에서 꼭 확인해야 할 체크리스트로 가짜 사이트를 가려낼 수 있습니다.

비정상적인 요구와 심리적 압박 대응법

가짜 사이트는 도메인 변조뿐만 아니라 심리를 이용한 사회공학적 기법도 동원합니다.

1. 긴급성을 강조하는 심리적 압박

피싱 사이트로 유도하는 문자는 ‘결제 승인’, ‘배송 오류’, ‘벌금 부과’ 등 즉각적인 조치가 없으면 불이익이 생길 것 같은 제목을 씁니다. 사용자가 냉정하게 판단할 시간을 없애는 전략입니다. 여행 예약의 경우 ‘예약 취소 예정’이나 ‘긴급 결제 요청’ 등으로 위장하곤 합니다.

2. 선입금 요구의 위험성

가장 확실한 사기 징후는 ‘선입금’ 요구입니다. 보증금 입금이 필요하다거나, 배송비 선결제 후 환급해주겠다는 식의 요구는 단돈 1원이라도 100% 사기입니다. 공식 플랫폼은 지정된 결제 게이트웨이로만 결제를 진행하며, 개인 계좌로 선입금을 요구하지 않습니다.

피해 발생 시 대응 및 신고 절차

가짜 사이트에 정보를 입력했거나 금전적 피해가 생겼다면, 즉시 전문 기관에 신고해 추가 피해를 막아야 합니다.

1. 경찰청 (112): 금전적 피해 발생 및 범죄 신고
2. 금융감독원 (1332): 계좌 지급 정지 및 금융 관련 상담
3. KISA 인터넷침해대응센터 (118): 피싱 사이트 차단 요청 및 기술적 대응

2026년 4월 28일부터 시행된 전기통신사업법 시행령 개정으로 문자사업자의 악성문자 사전차단 의무가 강화되었습니다. 하지만 정교한 수법이 여전히 존재하니 사용자의 주의가 가장 중요합니다. 2026년 상반기 스미싱 의심 문자 중 금융 거래 사칭형(33%)과 인증·개인정보 확인형(28%) 비중이 높습니다. 예약 확인을 빙자한 개인정보 요구에 각별히 유의해야 합니다.