공항 라운지에서 커피 마시다가 "예약 결제가 확인되지 않았습니다"라는 문자를 받으면, 손가락이 먼저 움직입니다. 저도 그랬어요. 작년 여름 다낭 숙소를 예약해두고 출국 이틀 전에 비슷한 영문 메시지를 받았는데, 호텔 이름과 체크인 날짜가 정확히 적혀 있어서 3초쯤 진짜로 믿었습니다. 이 글에서는 휴가철에 유독 몰리는 스미싱·피싱 수법이 어떤 얼굴로 오는지, 문자 하나를 30초 안에 판별하는 방법, 그리고 이미 링크를 눌렀을 때 순서대로 무엇을 해야 하는지를 정리합니다.
여행 준비로 마음이 급할 때가 스미싱이 가장 잘 통하는 순간입니다.
휴가철에 오는 스미싱은 얼굴이 다릅니다
예전 스미싱은 뿌리는 방식이었습니다. 택배, 과태료, 카드 발급. 아무한테나 보내놓고 걸리기를 기다리는 그물이었죠. 그런데 요즘 휴가철 수법은 내 예약 정보를 이미 알고 있는 상태로 들어옵니다.
한국인터넷진흥원은 여행 예약 플랫폼 해킹으로 유출된 숙박 예약정보를 활용한 스미싱이 유포되고 있다며 주의를 당부한 바 있습니다. 공격자가 호텔 관리자를 사칭해 "결제 문제가 발생했다", "예약 취소를 막으려면 재확인이 필요하다"며 카드 정보 입력을 유도하는 방식입니다. 숙소명과 투숙 일정이 실제와 일치하니 의심할 틈이 없습니다.
구분하는 방법은 의외로 간단합니다. 메시지가 나를 어디로 데려가려 하는지를 보세요. 정상적인 안내는 "앱에서 확인하세요"로 끝납니다. 사기 메시지는 예외 없이 링크나 전화번호로 데려갑니다. 카드번호를 문자 링크에서 다시 넣으라는 정상 절차는 존재하지 않습니다.
휴가철에 자주 보이는 네 가지 형태
첫 번째는 예약 확인 사칭. 두 번째는 가짜 예약 사이트로, 실제 플랫폼과 비슷한 도메인과 화면을 만들어 로그인·결제 정보를 가져갑니다. 세 번째는 비정상적으로 높은 할인율을 앞세운 검색광고 유입. 네 번째는 공식 플랫폼 밖에서 예약금·추가 결제를 요구하는 경우입니다. 카톡이나 계좌이체로 넘어가자고 하면 그 시점에 이미 끝난 겁니다.
왜 하필 휴가철에 몰릴까
수도관을 생각하면 이해가 쉽습니다. 평소엔 물이 천천히 흐르니 새는 데가 있어도 티가 안 나는데, 여름에 갑자기 압력이 확 올라가면 약한 이음새부터 터집니다. 휴가철 사람들의 판단력이 딱 그렇습니다.
결제와 예약이 한 달 안에 집중되고, 낯선 발신번호와 영문 메시지가 오는 게 자연스러워지고, 놓치면 여행 자체가 망가진다는 불안이 겹칩니다. 평소라면 "이거 좀 이상한데?" 했을 문자를, 출국 사흘 전에는 그냥 누릅니다. 사기꾼들이 노리는 건 여러분의 무지가 아니라 그 조급함입니다.
2026년 7월 기준, 숫자로 본 위험 신호
체크포인트리서치 집계에 따르면 2026년 5월 한 달간 새로 등록된 여행 관련 도메인은 4만 7,318개로 전월 대비 33% 늘었습니다. 같은 기간 여행·숙박·레저 업종이 받은 사이버 공격은 기업당 주 평균 2,291건으로 전월 대비 24% 증가했습니다. 경찰청 통계에서도 스미싱 발생 건수는 2021년 1,336건에서 2024년 4,396건으로 크게 뛰었습니다.
정상 안내와 사기 메시지를 나란히 놓고 보면 차이가 선명합니다.
| 구분 | 정상 안내 | 스미싱·피싱 |
|---|---|---|
| 도착 경로 | 공식 앱 알림, 가입 시 등록한 이메일 | 문자·와츠앱·SNS 메시지 |
| 요구 사항 | 앱에서 예약 내역 확인 | 링크 접속 후 카드번호·인증번호 입력 |
| 주소 형태 | 플랫폼 공식 도메인 | 철자 유사(i·l·숫자 0), 단축 URL, .xyz·.top |
| 말투 | 기한 안내 있음, 재촉 없음 | "오늘 안에", "미확인 시 자동 취소" |
| 결제 채널 | 플랫폼 내부 결제 | 계좌이체, 외부 링크 결제 |
| 할인율 | 시장 가격 범위 | "오늘만 90%" 등 비현실적 수치 |
표의 항목 중 두 개 이상 걸리면 그냥 무시하셔도 됩니다. 진짜 호텔이 보낸 메시지를 무시해서 생기는 손해보다, 가짜에 카드번호 넣어서 생기는 손해가 훨씬 크니까요.
주소창 철자 하나가 진짜와 가짜를 가릅니다.
문자 하나를 30초에 판별하는 절차
제가 다낭 문자를 받고 실제로 했던 순서 그대로입니다. 시간을 재보니 40초 정도 걸렸습니다.
1단계(5초). 손가락을 화면에서 뗍니다. 링크를 누르지 않는 것만으로 위험의 절반이 사라집니다.
2단계(10초). 메시지를 길게 눌러 복사합니다. 카카오톡에서 '보호나라' 채널을 친구 추가한 뒤 스미싱 메뉴에 붙여넣으면 10분 이내에 정상·주의·악성 세 가지 중 하나로 답이 옵니다.
3단계(15초). 기다리는 동안 예약한 플랫폼 앱을 직접 켭니다. 문자 속 링크 말고, 홈 화면에 있는 그 앱이요. 결제 문제가 진짜라면 앱 안에 반드시 표시됩니다.
4단계(10초). 앱에 아무 이상이 없다면 답은 나온 겁니다. 문자 수신창 상단의 '스팸으로 신고' 버튼을 누릅니다.
5단계. 찜찜하면 숙소나 여행사 공식 고객센터 번호로 직접 전화합니다. 문자에 적힌 번호 말고요.
제 경우 보호나라 판정은 '악성'이었습니다. 2단계와 3단계만 해도 대부분 걸러집니다.
상황별로 갈리는 대응
아직 링크를 누르지 않았다면 위 절차대로 신고하고 차단하면 끝입니다. 여기서 멈추면 아무 일도 일어나지 않습니다.
링크를 눌렀지만 앱을 설치하지 않았다면 대체로 큰 문제는 없지만, 개인정보를 입력했는지 기억을 되짚어 보세요. 이름·연락처만 넣었어도 이후 표적형 메시지가 더 정교하게 옵니다.
앱을 설치했거나 카드번호를 입력했다면 시간 싸움입니다. 이때 중요한 건 감염된 기기로 전화하지 않는 것입니다. 악성 앱이 깔리면 발신이 가로채여, 금융감독원에 건다고 눌러도 사기범에게 연결될 수 있습니다. 반드시 다른 사람 휴대폰으로 112에 신고하세요. 2023년부터 보이스피싱 신고는 112로 일원화되어 사건 접수, 악성앱 차단, 지급정지를 한 번에 처리합니다. 상담과 문의는 118, 온라인 제보는 전기통신금융사기 통합신고대응센터(counterscam112.go.kr)를 이용하면 됩니다.
해외 플랫폼을 통한 예약이었다면 국내 이용자가 피해를 구제받기 어려운 경우가 많습니다. 카드사 이의제기(차지백) 가능 여부를 카드사에 바로 문의하시고, 금액이 크거나 법적 대응이 필요한 상황이면 전문가 상담을 받는 편이 낫습니다. 저는 이 부분은 혼자 판단하지 말라고 말씀드리고 싶습니다.
여행 가기 전에 걸어두면 좋은 잠금장치
사후 대응보다 사전 차단이 훨씬 쌉니다. 금융위원회가 시행 중인 여신거래 안심차단은 내 명의로 신규 대출·카드론·신용카드 발급이 이뤄지는 것을 전 금융권에서 일괄 차단하는 서비스입니다. 한 곳에서 신청하면 전 금융권에 적용되고, 기존 카드 결제나 대출 상환은 그대로 유지됩니다. 은행 앱에서 '안심차단'으로 검색하면 나오고, 인터넷은행은 앱으로 신청 가능합니다. 다만 해제는 영업점 방문이 필요하니 대출 계획이 있다면 시기를 고려하세요.
피해가 의심될 때 확인할 곳도 미리 알아두면 좋습니다. 계좌정보통합관리서비스(payinfo.or.kr)에서 내 명의 계좌를, 명의도용방지서비스(msafer.or.kr)에서 내 명의 휴대폰 개통 내역을 조회할 수 있습니다. 안드로이드 사용자라면 설정에서 '알 수 없는 출처의 앱 설치 차단'과 '보안 위험 자동 차단'을 켜두세요. 서비스 조건은 바뀔 수 있으니 정확한 내용은 각 기관 공식 사이트에서 확인하시기 바랍니다. 🔒
떠나기 전 10분이면 대부분의 잠금장치를 걸어둘 수 있습니다.
출국 전 실천 목록
- 카카오톡에서 '보호나라' 채널 친구 추가 (의심 문자 판별용)
- 은행 앱에서 여신거래 안심차단 신청
- 스마트폰 설정에서 알 수 없는 출처 앱 설치 차단 켜기
- 예약한 플랫폼 공식 앱 설치하고 로그인 상태 확인
- 숙소·여행사 공식 고객센터 번호를 연락처에 미리 저장
마무리
보안 수칙을 아무리 외워도 급하면 무너집니다. 저는 그래서 규칙을 하나로 줄였습니다. "예약 관련 메시지는 앱에서만 확인한다." 문자가 뭐라고 하든, 확인은 앱에서. 이 한 줄이 제가 아는 가장 효율 좋은 방어입니다. 여행 준비물 목록에 이것도 한 줄 넣어두세요.
자주 묻는 질문
Q. 아이폰은 스미싱에서 안전한가요?
악성 앱 설치 경로가 막혀 있어 상대적으로 안전한 편이지만, 애플 계정 아이디·비밀번호와 인증번호까지 입력하도록 유도하는 피싱 사이트 방식이 확인되고 있습니다. 가짜 결제 페이지에 카드번호를 넣는 피해는 운영체제와 무관합니다.
Q. 링크를 눌렀는데 아무 일도 안 일어났으면 괜찮은 건가요?
페이지만 열렸다가 닫혔다면 대개 문제없습니다. 다만 무언가 설치되거나 정보를 입력했는지 확인하고, 앱 목록에서 설치한 기억이 없는 앱이 있는지 살펴보세요. 불안하면 118로 상담받는 편이 마음이 편합니다.
Q. 스팸 신고를 하면 발신자가 알게 되나요?
신고자 정보는 발신자에게 전달되지 않습니다. 오히려 신고가 쌓여야 해당 번호와 URL이 차단되므로, 다음 사람의 피해를 막는 데 도움이 됩니다.
