결론부터 말하면, 검색 결과 맨 위에 뜬 사이트나 실제 예약번호가 적힌 메시지도 그대로 믿으면 안 됩니다. 공식 앱을 직접 열고, 주소를 한 글자씩 확인하고, 메시지 안 링크가 아닌 별도 연락처로 결제 요청을 재확인해야 합니다. 이 세 단계를 거치기 전에는 여권정보나 카드번호를 입력하지 않는 것이 핵심입니다.
개인정보보호위원회는 2026년 7월 9일 여름 휴가철 가짜 항공권·숙박 예약 사이트를 경고했습니다. 실제 플랫폼과 거의 같은 화면을 만들고 영문 i와 l, 숫자 0처럼 닮은 문자를 주소에 섞거나 검색광고로 상단에 노출하는 방식입니다. 오늘만 90% 할인, 지금 예약하지 않으면 마감처럼 판단 시간을 빼앗는 문구도 대표 신호로 제시됐습니다.
결제 전 1분 확인표
| 확인 | 정상 경로에 가까운 신호 | 멈춰야 할 신호 |
|---|---|---|
| 접속 | 공식 앱·직접 입력·북마크 | 검색광고·문자 링크 |
| 주소 | 공식 도메인 철자 일치 | 글자 하나·하위도메인 변형 |
| 가격 | 조건·세금·취소규정 표시 | 비정상 할인·즉시 결제 압박 |
| 정보 | 한 번의 필요한 입력 | 카드·여권정보 반복 요구 |
| 확인 | 공식 고객센터와 예약 일치 | 외부 메신저·개인계좌 유도 |
주소창의 자물쇠 표시만으로는 충분하지 않습니다. 자물쇠는 현재 연결이 암호화됐다는 뜻이지 그 사이트가 실제 호텔이나 항공사라는 보증은 아닙니다. 회사 이름 앞뒤의 철자, 도메인 끝부분, 지나치게 긴 하위주소를 함께 봐야 합니다.
실제 예약정보가 있어도 다시 확인하세요
2026년 WIRED 취재는 공격자가 이름, 호텔, 숙박 날짜 같은 실제 예약정보를 넣어 결제 재확인을 요구하는 표적 피싱을 다뤘습니다. 따라서 “내 예약번호를 알고 있으니 진짜”라는 판단은 위험합니다. 메시지에 포함된 전화번호와 링크 대신, 이미 설치한 공식 앱이나 직접 찾은 호텔·항공사 공식 연락처로 문의하세요.
의심 메시지를 받았을 때 순서
- 링크를 누르지 말고 화면을 캡처합니다.
- 공식 앱을 직접 열어 예약 상태와 결제내역을 확인합니다.
- 공식 홈페이지에서 찾은 연락처로 추가 결제 요청의 진위를 묻습니다.
- 비밀번호를 입력했다면 해당 계정의 비밀번호를 바꾸고 로그인 기록을 봅니다.
- 카드정보를 입력했다면 카드사에 즉시 연락해 승인내역과 차단 조치를 문의합니다.
- 국내 사이버 신고·상담은 118, 범죄 피해 신고는 112 등 공식 경로를 확인합니다.
링크를 이미 열었더라도 추가 개인정보를 입력하거나 앱·파일을 설치하지 않습니다. 의심 사이트를 확인하겠다며 다시 접속하거나 주소를 주변 사람에게 그대로 전달하는 행동도 피하세요.
여행 전에 만들어 둘 안전 경로
항공사·호텔·예약 플랫폼의 공식 앱과 고객센터를 미리 북마크하고, 예약확정서와 결제내역은 오프라인에서도 볼 수 있게 보관합니다. 가족과 예약정보를 공유할 때는 전체 카드번호나 예약 PIN을 가립니다. 공식 앱 안에서도 외부 결제 링크가 오면 한 번 더 문의하는 습관이 필요합니다.
자주 묻는 질문
검색 결과 맨 위에 나오면 공식 사이트 아닌가요?
아닙니다. 검색 결과 상단에는 광고가 먼저 노출될 수 있고, 공격자가 실제 브랜드와 비슷한 이름으로 광고를 집행할 수도 있습니다. 광고 표시 여부와 주소 전체를 확인하고, 가능하면 이미 설치한 공식 앱이나 직접 입력한 공식 도메인으로 접속하세요.
예약번호와 숙박 날짜가 정확하면 믿어도 되나요?
그 정보만으로는 부족합니다. 숙박업체나 예약 시스템 계정이 탈취되면 공격자가 실제 예약정보를 이용해 정교한 메시지를 보낼 수 있습니다. 메시지 속 연락처가 아니라 예약확정서·공식 앱에 있던 연락처로 추가 결제 요구를 다시 확인하세요.
카드정보를 입력했지만 아직 결제 문자는 오지 않았습니다
승인 문자가 없다고 안전하다고 단정하지 마세요. 카드사 공식 고객센터에 입력 사실을 알리고 해외·온라인 결제 차단, 카드 재발급 필요성, 승인 대기 내역을 문의합니다. 같은 비밀번호를 다른 서비스에서 썼다면 해당 계정도 서로 다른 비밀번호로 바꾸고 로그인 기록을 확인하세요.
출처
확인 기준일은 2026년 7월 13일입니다. 이 글은 피해금 환급이나 법적 책임을 보장·판단하지 않습니다.
작성·검증 정보
- 작성·검토: Issuemaker 편집 데스크
- 검증 방법: 개인정보보호위원회 경고와 해외 보안 취재·보도를 교차 확인
- 최초 확인일: 2026년 7월 13일
- 최종 점검일: 2026년 7월 27일
- 다음 확인 기준: 정부·예약 플랫폼의 피싱 대응 절차 변경 시
함께 읽기: 여름 숙박 환불·오버부킹 대처법 · 스미싱 문자를 받았을 때 5분 대처법