너무 무섭다…中서 블로그 378번 방문 섬뜩한 기록

"너무 무서웠습니다. 사실상 뒷조사 아닌가요."

해외 온라인 여행사(OTA)를 이용한 소비자 A씨는 항공권 환불 문제로 항의한 뒤 섬뜩한 정황을 발견했다. 중국발 블로그 방문이 급증한 데 이어 해당 업체 모기업의 내부 시스템과 관련된 것으로 추정되는 접속 기록이 확인된 것이다.

지난해 국정감사에서 제기된 중국계 해외 OTA의 계열사 간 개인정보 공유 우려가 국내 소비자의 개인정보 처리 경위를 둘러싼 의혹으로 현실화하는 모양새다.

규제 사각지대 논란 속에 해외 OTA가 급성장하면서 소비자 민원도 쌓이고 있지만, 관계기관은 민원을 서로 넘기는 '핑퐁'을 반복하고 있는 것으로도 나타났다. 국내 업체와의 규제 형평성은 물론 소비자 보호 체계를 재점검해야 한다는 지적이 나온다.

◇ 野김재섭 우려, 1년 만에 현실로?

21일 국회 정무위원회 소속 김재섭 국민의힘 의원실에 따르면 해외 OTA에 항공권 환불 문제로 항의한 국내 소비자의 블로그에서 중국발 접속이 급증하고 업체 모기업과 관련된 것으로 추정되는 유입 기록까지 확인됐지만, 수개월째 개인정보 처리 경위는 규명되지 않고 있다.

제보자 A씨는 지난해 11월 스카이스캐너를 통해 키위닷컴에서 약 112만원의 항공권을 구매했다. 이후 환불 분쟁 과정에서 키위닷컴이 자신이 직접 관리하지 않는 가상 이메일 주소를 항공권 예약에 사용한 사실을 문제 삼았다. A씨는 이 같은 예약정보 처리 방식에 의문을 품고 스카이스캐너 측에 관련 문제를 제기했다.

그런데 이후 이메일에 사용한 '키위닷컴 체코소비자원'이라는 특정 표현과 동일한 검색어를 통한 블로그 유입 기록이 발견됐다. A씨는 스카이스캐너에 개인정보의 제3자 제공, 국외이전, 프로파일링 여부 등에 대한 열람을 요구했다.

이와 관련해 상담 계정과 접촉하는 과정에서 카드 보안코드(CVC) 정보를 요구받기도 했다. 해당 계정들의 운영 주체가 불분명해 A씨가 신원을 요구하자 채팅이 종료되는 일도 있었다.

A씨는 일련의 과정을 자신의 블로그에 공개한 이후 이전과 다른 방문 패턴을 발견했다. 평소 한국에서 발생하는 접속이 대부분이었지만, 중국에서 접속한 기록이 이례적으로 늘어났다는 것이다. 중국발 블로그 방문은 지난 4월 13건에서 5월 214건으로 급증했다. 이후 6월 76건, 7월 27건, 9월 48건 등 확인 가능한 5개월 동안에만 총 378건이 집계됐다.

특히 트립닷컴그룹과 연관된 것으로 추정되는 도메인(ctripcorp)이 포함된 유입 기록이 확인된 게 관련 의혹을 키우는 대목이다. 스카이스캐너의 모기업이 트립닷컴이다. 해당 도메인은 중국 상하이 소재 씨트립(트립닷컴 그룹의 내수용 플랫폼) 계열 법인의 도메인이다. 'basebiz'라는 명칭도 트립닷컴그룹의 공식 개발 플랫폼 깃허브(Github) 저장소 등에서 확인됐다.

국내 소비자가 스카이스캐너에 개인정보 열람을 문의한 뒤 확인한 블로그 유입 기록. 스카이스캐너의 모기업인 트립닷컴그룹과 연관된 것으로 추정되는 도메인(ctripcorp)이 포함돼 있다. /출처=독자 제공

해외에서도 OTA의 개인정보 처리 투명성을 둘러싼 문제 제기가 이어지고 있다. 홍콩 개인정보보호 당국은 2024년 11월 트립닷컴·아고다 등 온라인 여행 플랫폼 10곳을 점검한 결과, 이들 업체가 자사 플랫폼에서 이용자의 위치정보나 검색·열람 이력 등까지 수집하고 있다고 발표했다. 글로벌 온라인 커뮤니티 레딧에서는 트립닷컴 이용자가 예약 변경 분쟁 중 자신의 정보를 처리한 제3자 업체의 신원을 요구했지만 사업상 보안을 이유로 공개를 거절당한 사례도 올라왔다. 링크드인에도 신청하지 않은 항공권 취소 경위를 확인하기 위해 계정 접속기록을 요구했으나 제공받지 못했다는 사연도 알려졌다.

그러나 트립닷컴 측은 한경닷컴에 "글로벌 원스톱 온라인 여행 플랫폼으로 사용자 개인정보 보호를 최우선으로 생각하며 한국을 포함한 모든 관할 지역의 관련 데이터 보호법을 준수하고 있다"며 "당사는 개인의 온라인 활동을 감시하지 않으며 현지 법률 및 국제 데이터 보호 기준을 준수하는 고객 데이터 보호 시스템을 구축하고 있다"고 부연했다.

또 "당사는 국내 관련 법령은 물론, 국제 표준 보안 인증을 획득한 시스템을 통해 전 세계 사용자의 데이터를 안전하게 관리하고 있다. 앞으로도 국내 개인정보보호법을 준수하고 한국 이용자들에게 더욱 신뢰감을 주는 플랫폼이 되기 위해 노력하겠다"고 전했다.

A씨는 공정거래위원회, 개인정보보호위원회 등에 잇달아 민원을 제기했지만, 관계기관 사이에서 이른바 '민원 핑퐁'이 일거나 증빙 부족 등 사유로 민원을 종결했다. A씨는 "지난해 국정감사에서 거론된 문제가 내 일이 될 줄이라고는 꿈에도 몰랐다"고 토로했다.

앞서 김 의원은 지난해 10월 국정감사에서 트립닷컴의 개인정보 공유 약관을 문제 삼았다. 김 의원은 현행 중국 사이버보안법 등으로 국가안보상 자국 기업에 데이터 제공을 요구할 수 있다는 점을 짚으면서 "사실상 중국계 회사에 대한민국 국민의 개인정보들을 유출할 가능성이 높다"고 지적했다. 그러면서 "당사 계열사와 이용자 정보를 공유할 수 있다고 한 해당 약관을 고치겠다고 약속하라"고 요구했다.

당시 홍종민 트립닷컴 한국지사장은 약관 개정 요구에 "제가 결정할 수 있는 부분이 아니다"라며 "본사에 보고하고 검토하겠다"고 답했다.

◇ 소비자 피해 쌓이는데 규제사각 피해 해외OTA는 '쑥쑥'…당국 조사서도 빠져

해외 OTA의 국내 시장 영향력이 빠르게 커지는 상황에서 개인정보 보호를 포함해 소비자 피해구제 전반에 걸쳐 제도적 대응이 충분한지 의문이 제기되고 있다.

실제 소비자 피해구제 신청은 누적되고 있다. 한국소비자원에 따르면 2021년부터 올해 8월까지 아고다·부킹닷컴·에어비앤비·트립닷컴 등 글로벌 OTA 4곳의 계약불(완전)이행 피해구제 신청은 683건이었다. 놀유니버스·여기어때·네이버 등 국내 주요 플랫폼 3곳의 498건보다 많았다.

해외 OTA의 실제 시장 영향력은 국내 주요 업체를 웃돈다. 빅데이터플랫폼 모바일인덱스에 따르면 지난해 아고다와 트립닷컴의 국내 카드결제추정액은 각각 2조8009억원, 1조7675억원으로 합계 4조5684억원이었다. 놀(NOL)과 여기어때는 각각 1조121억원, 9581억원으로 합산해 약 2배 낮다. 이는 해외 OTA의 경우 항공권, 숙박권 등 객단가가 높기 때문이다.

그런데 국내 법인의 매출만 비교하면 정반대의 결과가 나타난다. 국내 업체의 매출이 해외 OTA보다 월등히 큰 것으로 집계되기 때문이다. 해외 OTA는 해외 본사 등을 통해 예약·결제가 이뤄지는 반면 국내 법인은 고객지원 등 제한적인 업무를 담당하는 구조여서다. 실제 국내 시장에서 발생하는 거래 규모와 국내 법인 매출 사이에 상당한 괴리가 있는 셈이다.

이 와중에 최근 월간활성이용자수(MAU)에서 트립닷컴이 사상 처음으로 국내 OTA를 역전하는 현상도 있었다. 업계에서는 너무나 이례적인 수준의 상승폭에 다크패턴(눈속임 설계)을 의심했으나, 정작 트립닷컴은 최근 공정위의 국내외 OTA 다크패턴 조사에서 제외됐다. 공정위 관계자는 "업계 전반을 들여다보는 조사가 아니었다"며 "조사에서 제외된 업체의 경우, 제기된 문제에 대해 관련 혐의가 발견되지 않았기 때문"이라고 설명했다.

김재섭 의원실에 제출된 공정위 자료에 따르면 국내외 OTA 6곳이 시정 조치 됐으나, 해당 업체들의 명단은 모두 비공개 처리됐다.

국내 업체들은 오랫동안 규제 형평성 문제를 제기해왔다. 국내 여행업 등록 사업자는 관광진흥법에 따라 보증보험 등 소비자 피해보상 장치를 갖춰야 한다. 그런데 일부 해외 OTA는 해외 법인을 통해 이와 같은 장치 없이 국내 예약·결제 서비스를 제공하면서 여행업 등록 의무 적용과 집행을 둘러싼 논란이 꾸준히 일었다. 트립닷컴과 아고다 등 일부 해외 OTA는 국내 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받지 않은 점도 쟁점이다.

10월이 돼서야 국내 업체가 다시 1위를 탈환했지만, 업계에서는 실소를 터뜨리고 있다. 한 관계자는 "이미 기울어진 운동자에서 누구를 위한 정부인지 모르겠다"며 "규제 사각지대를 피해 해외 OTA들이 폭발적으로 성장할 동안, 국내 업체들이 고군분투하기 위해 얼마나 많은 마케팅비를 쏟아붓는 등 출혈경쟁을 해야하는지 아느냐"고 하소연했다.

◇ 정부는 해외 OTA와 협력 확대…"규제 형평성·소비자 보호 강화해야"

이런 가운데 정부는 해외 OTA와의 협력을 확대하고 있다. 한국관광공사의 트립닷컴 관련 사업 집행액은 2023년 3억2800만원에서 지난해 6억8000만원으로 증가했다. 올해는 8월까지 9억2500만원으로 2023년 연간 집행액의 2.8배에 달했다. 트립닷컴이 항공권 환급 의무 위반으로 공정위 제재를 받은 이후에도 공동 판촉 사업은 이어졌다.

정부 입장에서는 외국인 관광객 유치를 위해 글로벌 판매망을 가진 해외 OTA와의 협력이 불가피한 분위기인 게 사실이다. 다만 해외 OTA의 국내 시장 영향력이 빠르게 커지는 가운데, 국내 업체와의 규제 형평성을 확보하고 소비자 보호를 강화하는 일은 여전히 과제로 남아 있다.