로카플레이스 매거진
🔐 숙소 예약 사기 주의! 카카오톡·QR코드 피싱 사례와 호스트 보안 예방법
마이크로소프트와 에어비앤비 사례로 알아보는 숙소 예약 피싱과 호스트 보안 예방법. QR코드, 예약 링크, 파일과 인증번호를 안전하게 확인하세요.
마이크로소프트와 에어비앤비의 실제 사례로 알아보는 숙소 운영 보안 상식
숙소를 운영하다 보면 다양한 게스트에게 예약 문의를 받게 됩니다. 장기임대 상담을 위해 연락처를 주고받거나, 카카오톡으로 사진과 QR코드를 공유하는 것도 이제는 익숙한 일이죠.
그런데 최근 몇 년 사이 이러한 일상적인 소통 과정을 악용해 숙박업 종사자에게 접근하는 사이버 공격 사례가 실제로 보고되고 있습니다.
복잡한 보안 지식보다는 메시지를 받을 때 한 번 더 확인하는 작은 습관에 관한 이야기입니다. 😊
🏨 1. 마이크로소프트가 발견한 숙박업 대상 사이버 공격
2025년 3월 13일, 마이크로소프트 보안 연구팀은 숙박 예약 플랫폼 Booking.com을 사칭해 호텔과 숙박업 종사자를 공격하는 피싱 캠페인을 공개했습니다.
공격자는 예약 문의, 고객의 부정적인 리뷰, 계정 확인 요청 등 숙박업 운영자가 관심을 가질 만한 내용으로 이메일을 보냈습니다.
메시지에 포함된 링크를 누르면 Booking.com처럼 꾸며진 가짜 페이지가 등장하고, 문제를 해결하기 위해 특정 명령어를 실행하도록 유도했습니다.
그 결과 개인정보와 금융정보를 탈취할 수 있는 악성코드가 설치되는 방식이었습니다.
마이크로소프트는 이러한 공격을 Storm-1865라는 위협 활동으로 추적했습니다.
더 최근인 2026년 6월 25일에도 숙박업계를 겨냥한 공격 사례가 추가로 공개됐습니다.
이번에는 고객 불만이나 객실 문의 등을 가장한 메시지로 접근한 뒤, 사진처럼 보이는 악성 파일을 내려받아 실행하도록 유도했습니다.
공격자가 사용한 파일은 실제 사진이 아니라, 이미지 파일처럼 위장한 바로가기 파일이었습니다.
다만 이런 공격은 단순히 정상적인 사진을 보는 것만으로 발생한 것이 아니라, 악성 파일을 다운로드하고 실행하는 과정이 필요했습니다.
📌 핵심은 익숙한 예약 문의나 사진 전달도 공격의 시작점으로 악용될 수 있다는 점입니다.
💬 2. 에어비앤비 호스트들도 비슷한 경험을 공유했습니다
에어비앤비 공식 호스트 커뮤니티에서도 외부 메신저로 대화를 유도하는 문의가 반복적으로 보고됐습니다.
2024년 4월, 한 호스트는 장기 숙박을 희망한다는 게스트들이 주변 편의시설을 문의한 뒤, 에어비앤비 메시지가 불편하다는 이유로 WhatsApp 연락을 요청한다고 설명했습니다.
이 호스트는 이러한 문의가 반복됐지만 실제 예약으로 이어진 적은 없었다며 다른 호스트들의 경험을 물었습니다.
2020년에는 하루에 WhatsApp 연락을 요구하는 문의를 7건 받았다는 호스트의 신고도 있었습니다. 같은 게시물에 다른 호스트 역시 유사한 문의를 여러 건 받았다고 답했습니다.
이들은 호스트 커뮤니티에 공유된 의심 사례로, 모든 문의가 실제 사기로 확인됐다는 의미는 아닙니다.
실제로 장기임대를 희망하거나 외부 메신저를 선호하는 정상적인 게스트도 있기 때문입니다.
다만 예약 조건보다 외부 연락처 확보를 우선하거나 비슷한 문의를 반복한다면 조금 더 신중하게 확인할 필요가 있습니다.
에어비앤비 역시 공식 도움말에서 플랫폼 외부 대화가 피싱 및 사기 위험을 높일 수 있다고 안내하고 있습니다.
✅ 3. 호스트님이 기억하실 네 가지 보안 습관
📱 첫째, QR코드는 연결 주소를 확인하세요.
QR코드 자체가 위험한 것은 아닙니다. 카카오톡 친구 추가나 웹사이트 안내에도 편리하게 사용되니까요.
다만 출처가 불분명한 QR코드를 스캔했다면 어디로 연결되는지 확인하고, 갑자기 로그인이나 앱 설치를 요구할 경우 주의해 주세요.
🔗 둘째, 예약·결제 안내 링크는 공식 사이트에서 확인하세요.
“예약이 취소됩니다”, “결제 정보를 다시 입력하세요”라는 메시지가 도착했다면 바로 링크를 열기보다 해당 플랫폼에 직접 접속해 확인하는 것이 안전합니다.
📂 셋째, 낯선 사람이 보낸 파일은 신중하게 열어보세요.
특히 압축파일이나 실행파일을 사진·계약서라고 소개하면서 다운로드 또는 설치를 요구한다면 주의가 필요합니다.
🔐 넷째, 개인정보와 인증번호를 보호해 주세요.
로그인 비밀번호와 일회용 인증번호는 다른 사람에게 전달하지 마세요. 신분증이나 금융정보도 계약에 꼭 필요한지, 적절한 요청 경로인지 확인하는 것이 좋습니다.
🛡️ 4. 예약 대화는 기록을 남겨두는 것이 좋습니다
장기임대는 일정, 보증금, 관리비, 계약 조건 등 확인할 내용이 많습니다.
카카오톡이나 전화가 편리할 수 있지만, 처음 연락하는 게스트라면 가급적 로카플레이스 채팅에서 기본적인 예약 조건을 먼저 확인해 주세요.
특히 계약 기간과 금액 등 중요한 합의 내용은 나중에 다시 확인할 수 있도록 기록으로 남겨두는 것을 권장합니다.
수상한 링크나 반복적인 개인정보 요청을 받았다면 답변을 서두르지 마시고 로카플레이스 고객센터에 알려주세요.
의심스러운 메시지는 한국인터넷진흥원(KISA) 118 상담센터에서도 도움을 받을 수 있습니다.
💚 안전한 숙소 운영은 작은 확인에서 시작됩니다
새로운 게스트와의 만남은 언제나 반가운 일입니다.
그렇다고 모든 문의를 의심할 필요는 없습니다. 다만 온라인 거래가 일상이 된 만큼, 기본적인 보안 습관을 한 번 더 떠올려 주시면 좋겠습니다.
모르는 링크는 확인하고, 인증번호는 공유하지 않고, 중요한 거래 내용은 기록으로 남기기.
이미 잘 알고 계신 방법들이지만, 바쁜 일상에서 한 번 더 실천하는 것만으로도 불필요한 위험을 줄일 수 있습니다.
📚 참고 자료 및 출처
Microsoft 공식 보안 연구
2025.03.13 — Booking.com 사칭 및 계정정보 탈취 악성코드 공격 분석
2026.06.25 — 숙박업계를 겨냥한 사진 위장 악성 파일 공격 분석
Airbnb 공식 커뮤니티 · 안전 정책
2024.04.08 — 장기임대 문의 후 WhatsApp 이동을 요청받은 호스트 경험
2020.05.10 — 반복적인 외부 메신저 문의를 신고한 호스트 사례
Airbnb 공식 도움말 — 메시지 보안 및 플랫폼 내 소통 안내
참고: Microsoft 자료는 실제 위협 활동에 대한 보안 분석이며, Airbnb 커뮤니티 게시글은 개별 호스트의 신고 및 경험담입니다.