부킹닷컴(Booking.com)이 일부 고객 예약정보에 대한 무단 접근 가능성을 인정했다. 회사는 2026년 4월 13일 피해 고객에게 통지를 시작했고, 의심스러운 활동을 발견한 뒤 즉시 문제를 차단했다고 밝혔다.
현재까지 확인된 내용에 따르면 결제정보는 노출되지 않았지만, 이름과 이메일, 전화번호, 예약 내역, 숙소와 주고받은 정보 일부가 외부에 노출됐을 가능성이 제기됐다.
이번 사고는 단순한 개인정보 노출 사건으로만 보기 어렵다. 여행 예약정보는 그 자체로 매우 강한 사회공학 재료가 되기 때문이다. 공격자가 실제 숙소 이름과 숙박 일정, 예약자 연락처를 알고 접근하면 피해자는 정상 안내로 오해하기 쉽다.
4월 13일 고객 통지 시작, 그러나 피해 규모는 아직 비공개
노출 가능 항목으로는 예약자 이름, 이메일, 주소, 전화번호, 예약 세부정보, 숙소에 전달한 요청 사항 등이 포함됐다. 회사는 의심스러운 활동을 확인한 뒤 바로 대응했고, 현재는 사안을 통제하고 있다고 설명했다.
다만 아직 공개되지 않은 부분도 많다. 부킹닷컴은 공격이 어떤 방식으로 이뤄졌는지, 내부 시스템이 직접 침해됐는지, 정확히 몇 명의 이용자가 영향을 받았는지 밝히지 않았다. 이 때문에 이번 사고는 “문제는 막았지만 설명은 충분하지 않은 사건”이라는 평가를 받고 있다.
카드정보보다 예약정보가 더 위험할 수 있어
표면적으로 보면 결제정보가 빠졌다는 점은 다행으로 보일 수 있다. 그러나 보안 관점에서는 오히려 예약정보의 조합이 더 위험할 수 있다. 숙소 이름, 체크인 일정, 예약자 연락처 같은 정보는 공격자가 정상 고객센터나 숙소 직원처럼 위장하는 데 매우 유리하기 때문이다.
예를 들어 “예약 확인을 위해 다시 결제해야 한다”거나 “숙소 정책 변경으로 카드 인증이 필요하다”는 식의 메시지는 실제 여행객에게 피해를 발생시킬 수 있다. 여행을 앞둔 이용자는 일정이 취소될까 불안하기 때문에 평소보다 쉽게 속을 수 있다. 이 때문에 부킹닷컴도 공식 안전 안내를 통해 이메일, 전화, 문자, 왓츠앱(WhatsApp) 등으로 카드정보나 비정상 송금을 요구하는 연락을 주의하라고 강조해 왔다.
회사는 이번 사고 대응 과정에서 예약 PIN 재설정 조치도 진행했다. 이는 예약 확인 과정에서 추가 악용 가능성을 줄이기 위한 조치로 해석된다. 하지만 이미 실제 예약정보 일부가 공격자 손에 들어갔다면, 이용자 스스로 공식 앱과 웹사이트 안에서 정보를 다시 확인하는 습관이 더 중요해졌다고 볼 수 있다.
부킹닷컴은 과거에도 보안 문제로 논란을 겪은 바 있다. 유럽개인정보보호이사회(EDPB)에 따르면, 네덜란드 감독당국은 2020년 부킹닷컴이 데이터 침해 사실을 늦게 신고했다는 이유로 제재를 부과했다. 당시 사건은 호텔 직원을 겨냥한 사회공학 공격에서 시작됐고, 수천 명 규모의 고객 정보가 영향을 받은 것으로 알려졌다.
이번 사건의 구조가 당시와 정확히 같은지는 아직 확인되지 않았다. 그러나 여행 예약 서비스는 플랫폼, 숙소, 파트너 시스템, 메시징 채널이 서로 촘촘히 연결돼 있다는 점에서 한 곳의 보안 허점이 곧바로 고객 접점으로 이어질 수 있다. 그래서 이번 사고는 단순히 한 기업만의 문제가 아니라 여행 예약 생태계 전체의 보안 문제로 봐야 한다는 지적도 나온다.
여기에 최근 여행 관련 온라인 사기 자체가 크게 늘고 있다는 점도 부담이다. 부킹닷컴은 공식 안전 자료에서 여행 사기가 빠르게 증가하고 있다고 경고해 왔고, 여러 외신은 회사 설명을 인용해 최근 18개월 사이 여행 사기 시도가 크게 늘었다고 전했다. 생성형 인공지능까지 악용되는 환경에서는 문장과 형식이 더 자연스러워져 이용자가 속아 넘어갈 가능성도 커질 수밖에 없다.
현재까지 드러난 사실을 종합하면, 부킹닷컴은 4월 13일 고객 통지를 시작했고 문제를 봉쇄했으며, 결제정보는 유출되지 않았다고 밝혔다. 그러나 예약정보만으로도 공격자는 충분히 설득력 있는 사기 시나리오를 만들 수 있다. 카드번호가 빠졌다는 이유만으로 안심할 단계는 아니다. 국내 이용자들 또한 각별히 주의해야 한다.
댓글
0