라이언에어, 미국 법원서 Booking.com 상대 스크린 스크래핑 소송 승소

• 미국 법원이 Booking.com의 Ryanair 웹사이트 접근을 Computer Fraud and Abuse Act 위반으로 판단하면서, 항공권 재판매 플랫폼의 스크린 스크래핑 관행에 제동이 걸림
• Ryanair는 허가 없이 자사 항공권을 재판매하는 제3자 예약 플랫폼을 상대로 최근 몇 년간 법적 대응을 이어왔음
• 쟁점은 스크린 스크래핑으로 항공권을 가져와 재판매하면서 추가 요금을 붙이고, 항공사가 승객에게 직접 연락하기 어렵게 만든다는 점임
• Delaware 지방법원 배심원단은 Booking.com이 제3자의 무단 접근을 유도했고, 그 접근에 사기 의도가 있었다고 만장일치로 판단함
• Booking.com은 항소할 계획이며, Ryanair는 영국과 유럽 소비자 기관이 불법 스크린 스크래핑과 과다 청구를 금지하길 원함

---

미국 법원의 판단

• 미국 법원은 Booking.com이 Ryanair 웹사이트 일부에 허가 없이 접근해 Computer Fraud and Abuse Act를 위반했다고 판단함
• Delaware 지방법원 배심원단은 Booking.com이 제3자를 유도해 Ryanair 웹사이트 일부에 무단 접근하게 했고, 그 접근에 사기 의도가 있었다고 만장일치로 봄
• 법원은 Booking.com의 반소도 기각함
  • Booking.com은 Ryanair가 자사를 명예훼손했다고 주장함
  • Booking.com은 Ryanair가 불공정 경쟁을 했다고 주장함

Ryanair가 문제 삼은 재판매 관행

• Ryanair는 유럽에서 승객 수 기준 최대 항공사이며, 최근 몇 년간 자사 항공권을 허가 없이 재판매하는 제3자 예약 플랫폼을 상대로 여러 소송을 제기해 왔음
• Ryanair가 문제 삼은 핵심은 예약 플랫폼들이 스크린 스크래핑 소프트웨어로 항공권을 찾아 재판매한다는 점임
• 이 과정에서 추가 요금이 붙고, 항공사가 승객에게 직접 연락하기 어려워진다고 Ryanair는 봄

양측 반응

• Booking.com은 판결에 실망했으며 동의하지 않는다고 밝힘
• Booking.com은 여행 업계 전반의 요금을 고객이 접근하고 비교할 수 있어야 소비자 선택권이 넓어진다고 보고, 항소할 계획임
• Ryanair CEO Michael O'Leary는 이번 판결이 항공사, 여행사, 소비자를 상대로 한 온라인 여행사들의 불법 행위와 과다 청구를 끝내는 계기가 되길 기대함
• Michael O'Leary는 영국과 유럽의 소비자 기관이 항공권과 부가 서비스에 대한 불법 스크린 스크래핑과 과다 청구를 금지하는 조치를 취하길 원함

허가된 재판매 경로

• Ryanair는 최근 몇 달 동안 여러 온라인 여행사와 공식 재판매 계약을 체결함
• 이 계약들은 Ryanair 항공권을 허가된 방식으로 재판매하기 위한 것임

[GN⁺]

Hacker News 의견들

• 이 판결은 1) 거래의 중개자로 행동했고, 2) 가격이나 서비스 조건에 개입했으며, 3) 자체 이익을 붙인 경우에 한정될 것 같음
  그래서 스크래핑 자체에 대한 선례가 되지는 않는다고 봄
  여행 업계의 매우 가변적이고 차별적인 가격 책정은 제3자 재판매업자가 구해주길 기대하기보다 규제로 다루는 편이 더 낫다고 생각함

  • 예전에는 항공 여행을 규제했는데, 그때는 훨씬 더 비쌌음
  • 여기서 “사기 의도”가 어디서 발생했다는 건지 모르겠음
    Ryanair가 항공권으로 돈을 벌고 싶다면, 소비자를 수많은 다크 패턴으로 부가서비스 구매에 유인해야만 수익이 나는 항공권을 팔면 안 됨
    항공권을 예약하려는 입장에서는 Booking.com이 내 서비스의 사용자 에이전트처럼 동작하는데, Ryanair가 Booking.com을 막을 법적 근거가 왜 있어야 하는지 모르겠음
    출발지/도착지 도시나 공항, 유럽에서는 철도까지, 수하물과 승객 정보를 넣으면 계정 여러 개 만들고 결제 정보를 퍼뜨리고 다크 패턴·깨진 영어·계속 바뀌는 UI와 싸우지 않아도 최저가와 티켓 구매까지 해주는 서비스가 있었으면 함
    여행사들이 이런 일을 잘하는 걸 보면 가능하다는 건 아는데, 여행사에게 추가판매당하지 않고 직접 하고 싶음. 철도와 항공은 그냥 단순한 파이프여야 함
  • Booking.com의 전체 사업 모델이나 최소한 시장 장악력을 무너뜨리려면 얼마나 어려울까?
  • Elon 관련 황당한 판결에 이어 이번 판결까지 보면, 왜 아직도 누가 Delaware에서 사업을 하는지 모르겠음

• 이 판결은 HiQ vs LinkedIn에 대한 제9순회항소법원 판결과 정면으로 충돌하므로 뒤집힐 가능성이 큼
  관할 순회가 다르니 상급심으로 올라가야겠지만, 여기서 CFAA를 쓰는 건 명백히 잘못된 도구라고 봄
  [1] https://calawyers.org/privacy-law/ninth-circuit-holds-data-s...

  • 결국 이 사안은 화면 스크래핑보다 대리인의 기만적 행위에 더 좌우될 수도 있음
  • 이 사건의 사실관계를 따라가 보진 않았고, 빠르게 찾을 수 있는 자료도 많지 않았음
    지금 찾은 최선은 기각 신청에 대한 명령문 [1]인데, 판사가 왜 HiQ v LinkedIn이 CFAA 위반 가능성을 배제할 만큼 충분한 선례가 아니라고 봤는지 다룸. Ryanair의 약식판결 신청서 [2]도 있고, 여기에는 증거개시 결과가 어느 정도 드러남
    짧게 말하면 별로 명확하지 않음. 기각 신청 명령문은 CFAA 위반이 되려면 어떤 형태의 접근 통제 우회가 필요하고, 소장에는 그런 통제가 충분히 주장됐다고 봄. 구체적으로는 비밀번호로 보호되는 인터넷 계정임
    다만 이 논리는 다소 약해 보이고, 판사는 HiQ가 “사용자 인증 없이 공개적으로 이용 가능한 것”에 좁게 초점을 맞춘다고 보는 듯함. 약식판결 신청서에는 다음과 같이 나옴

    Booking and Kayak admit that their access was intentional, and there are no factual disputes that Booking’s and Kayak’s access circumvents authentication mechanisms implemented by Ryanair specifically to keep Defendants out.
    그런데 여기서도 그 인증 메커니즘이 무엇인지 모호하고, 기사도 전혀 밝혀주지 않음
    항소에서 뒤집힐지 확실하진 않지만, “화면 스크래핑용 계정을 만드는 것”이 CFAA가 금지하는 행위처럼 들리지는 않음
    [1] https://storage.courtlistener.com/recap/gov.uscourts.ded.731...
    [2] https://storage.courtlistener.com/recap/gov.uscourts.ded.731...

  • CFAA는 이런 정확한 상황을 피하려고 이미 문구가 바뀐 줄 알았음
    그중에는 책임 있는 공개 같은 것도 있었고
  • 아니면 제9순회항소법원의 판결이 뒤집힐 수도 있음

• 배심 평결: https://www.courtlistener.com/docket/18414221/457/ryanair-da...

  Part E: Computer Fraud an Abuse Act Loss
  Did Ryanair prove by a preponderance of evidence that it suffered actual economic harm caused by Booking.com
  violating the Computer Fraud and Abuse Act and, if yes, state the amount.
  X Yes _ No
  $ 5000
  Part E Nominal Damages
  $ 0
  Part F: Punitive Damages
  $0
  Ryanair가 소송에서 이기긴 했지만, 고작 5천 달러만 내면 된다면 Booking.com 입장에서는 승리에 가까워 보임

  • 앞으로 Booking.com과 같은 방식을 쓰는 여러 서비스에 영향을 줄 선례가 생김
    사이트에서 스크랩한 AI 학습 데이터 관련 소송에도 좋은 토대가 될 것 같음
  • 아프리카에서 Mechanical Turk 인력을 고용해서 가격을 Excel 시트에 입력하게 해도 5천 달러면 되겠음
  • 가능한 두 결과를 보면, 1) 배심이 CFAA 위반에 “아니오”라고 판단하거나, 2) 배심이 CFAA 위반에 “예”라고 판단하되 배상액을 0달러로 주는 경우가 있음
    2번은 Ryanair가 계획했을 수 있는 항소 절차에 더 부정적 영향을 주므로 Ryanair에게 더 나쁜 결과일까?
    0달러 배상 판정이 1번보다 더 강한 선례가 되어, 앞으로 CFAA로 소송하려는 사람들을 더 잘 억제하게 될까?
  • 그래도 이제 그 행위는 중단해야 함

• 작년에 한 스타트업 행사에서 Ryanair 창업 초기에 매우 고위직이었고 핵심 역할을 했던 사람의 이야기를 들었음
  작은 청중 앞에서 Booking.com이 자신들의 이익을 얼마나 많이 “훔치고” 있는지 알아차리지 못했다는 이야기를 했음
  그의 말을 바꿔 쓰면, “우리는 그들에게 우리 사이트에서 무료 광고를 해줬고, 우리가 모르는 사이 그들은 승객 1인당 우리보다 더 많은 이익을 빠르게 벌고 있었다. 알아차리고 뭔가 하려 했을 때는 이미 너무 커져 효과적으로 끊어낼 수 없었다”는 내용이었음
  그래서 이 글을 보니 이 프레너미 싸움이 아직도 계속된다는 게 재미있음

  • Skyscanner는 Ryanair 트래픽을 자기 사이트에 올렸음
    클릭 추천으로 Ryanair에서 돈을 버는 건 아니었지만, Ryanair가 가져오는 트래픽 때문이었음
  • “무료 광고”는 항공권 수익에는 영향이 작음. 대부분의 집계 사이트가 큰 폭의 마진을 붙여 팔지는 않기 때문임
    아마 Booking이 호텔 예약에서 벌어들인 매출을 생각한 것 같고, 호텔은 마진이 훨씬 높음. 하지만 그건 항공사 매출을 빼앗는 것과는 다르고, 항공사는 제휴 계약으로 상당 부분을 되돌려 받을 수도 있음
    “너무 커져 효과적으로 끊어낼 수 없었다”는 말은 호텔 업계에도 맞고, 그들의 해자 중 하나임
    특히 작은 호텔들은 매출 대부분이 집계 플랫폼에서 나올 수 있어서, 플랫폼이 마음에 들든 말든 떠날 수 없음. 자체 마케팅 채널을 만드는 건 어렵고 비쌈

• Ryanair가 OTA의 항공권 재판매를 반대하는 이유는 수수료가 아니라, 항공권이 종종 패키지 여행으로 재판매되기 때문임
  패키지 여행은 항공권과 호텔 등을 묶은 상품이고 보통 훨씬 높은 마진으로 팔림
  Ryanair는 자체 패키지 여행 사업을 갖고 있어서, 그 마진을 남이 아니라 자기들이 가져가길 원함
  패키지 여행 회사는 항공사보다 훨씬 많고, Ryanair는 이 판결과 자신들도 항공사를 소유한다는 사실을 이용해 경쟁을 제한하고 더 많은 돈을 벌려는 것임

  • 수수료도 큰 부분임
    Booking 같은 OTA는 Ryanair나 저가 항공사의 기본 항공권을 항공사와 같은 가격에 팔지만, 수하물과 부가서비스에는 훨씬 높은 수수료를 붙임
    이 두 번째 부분을 항공권 검색엔진에는 숨기기 때문에, 수하물을 포함해도 더 싸 보이게 됨
    저가 항공사들에 대한 많은 반감은 항공사 자체보다 형편없는 OTA에서 비롯된 것 같음
  • 결국 Ryanair는 자유시장에 반대하는 것임
    독점을 갖고 가격을 올리고 싶어함. Ryanair에는 좋지만 소비자에게는 나쁨
  • 보험 판매나 렌터카 판매도 마찬가지임

• 이 사건 20-cv-01191-LPS, Ryanair DAC v. Booking Holdings Inc. et al, United States District Court of Delaware의 최신 의견은 아직 공개되지 않은 것 같음
  2021년에 나온 첫 의견은 Booking Holdings Inc의 기각 요청을 거부한 것임
  [1] https://www.ded.uscourts.gov/sites/ded/files/opinions/20-cv-...
  Ryanair(아일랜드 회사)는 Delaware 법인 Booking Holdings Inc를 상대로 18 USC 1030(a)(2)(C), (a)(4), (a)(5)(A)-(C)[2]에 근거해 청구했고, 대상에는 Delaware 법인인 Kayak Software Corporation과 Priceline LLC, Singapore 회사인 Agoda 같은 자회사도 포함됨
  Booking Holdings Inc는 사건 기각 사유 중 하나로 Ryanair를 포함한 항공사 웹사이트를 스크랩하는 데 Booking Holdings Inc가 사용한 세 회사 Etraveli, Mystifly, Travelfusion의 이름을 들고 나옴
  이 의견만으로는 Booking Holdings Inc, Etraveli, Mystifly, Travelfusion이 정확히 무엇을 잘못했다고 판단됐는지 알기 어려움
  Ryanair가 공개 웹사이트도 “By clicking search you agree to the Website Terms of Use” 버튼이 검색 양식에 있고, 이용약관이 “보호” 형태라는 이유로 보호된 컴퓨터라고 성공적으로 주장했을 가능성이 가장 커 보임
  뒤를 보면 API는 꽤 단순한 익명 토큰 요청이고, 응답을 받는 데 비밀값이 필요하지 않음
  DOM에서 “By clicking search you agree..”와 관련 체크박스를 제공하는 HTML 요소를 삭제해도 양식 제출과 결과 반환은 정상적으로 됨
  [2] https://www.law.cornell.edu/uscode/text/18/1030

  • HiQ 사건에서는 적어도 연방 CFAA상으로는 이용약관이 보호 수단이 아니라고 판결하지 않았나?
    적어도 Illinois에서는 웹사이트 이용약관 위반을 중범죄까지 만들 수 있게 해놨고, 법 조문에도 그렇게 명시돼 있음

• 기사가 너무 가벼운데, 더 많은 맥락이 있는 사람이 있나? 이런 유형의 사이트 전체에 강한 선례가 되는 건가? Booking.com만 항공권을 재판매하는 사이트는 아닐 텐데, 사실 Booking.com이 항공권도 하는지 몰랐음
  Booking.com이 SkyScanner나 Google Flights와 비교해 특별히 나쁜 행동을 한 건가?
  Ryanair CEO Michael O'Leary는 “이 판결이 OTA 해적들의 불법 행위로 항공사·여행사·소비자에게 가해진 인터넷 해적질과 과다청구를 끝낼 것으로 기대한다”고 했는데, 왜 거의 항상 항공사 직접 구매보다 이상한 제3자를 통하는 게 더 쌀까?
  몇 달러 차이면 항공사에서 직접 예약하지만, 가끔은 들어본 적 없는 제3자 사이트가 50달러 이상 더 쌀 때도 있음

  • 내가 이해한 바로는 Booking.com은 Ryanair의 예약 과정을 자동화해서 항공편을 대신 예약하고 그 위에 자체 수수료를 더함
    반면 SkyScanner 같은 곳은 정보를 보여준 뒤 Ryanair 웹사이트로 보내서 항공사에서 직접 예약하게 하는 방식임
  • Ryanair는 이미 오래전부터 같은 일을 하는 다른 회사들을 상대로 소송에서 이겨 왔음
    다만 내가 아는 건 주로 EU 사건이고, 이번 사건은 미국 사건임
    이상한 제3자를 통하면 항상 더 싼 건 아님. 보통은 항공권 검색이 필터링을 더 잘하고, 이전 결과 캐시가 있기 때문임
    사람이 충분히 오래 검색하고 항공사 사이트를 효율적으로 쓰는 법을 안다면 같은 저가 결과를 찾을 수도 있음
  • 달러 표시를 보니 미국에 있는 것 같은데, 그런 레거시 장난은 미국에서나 벌어짐
    Ryanair에서는 그런 일이 없음
  • Google Flights에는 괜찮다고 한 걸 보면 Booking.com이 뭔가 다르게 했을 가능성이 큼
    https://www.bbc.com/news/business-67873695
    “Ryanair는 성명에서 온라인 대리점들을 ‘해적’이라고 불렀다. Ryanair는 ‘Google Flights 같은 정직하고 투명한 온라인 여행사에는 계속 운임을 제공하겠다’고 했으며, Google Flights는 ‘Ryanair 가격에 숨겨진 마크업을 붙이지 않고 승객이 Ryanair.com 웹사이트에서 직접 예약하도록 안내한다’고 밝혔다”

• 꽤 나쁜 선례라고 봄. 공개적으로 접근 가능한 것은 무엇이든 스크래핑할 자유가 있어야 한다고 생각함
  보안을 우회하는 불법 행위를 한 게 아니라면, 이 판결은 앞으로 인터넷 아카이빙, 웹 스크래핑, 데이터 수집에 매우 나쁜 분위기를 만들게 됨

  • 이 소송은 스크래핑에 관한 게 아니라, Booking.com이 재판매 계약 없이 Ryanair 상품의 재판매업자로 행동한 것에 관한 것임
    Ryanair는 Booking.com이 거래에 자기 이익을 붙이고, Ryanair가 실제 고객과 소통하지 못하게 만들었다고 주장하며, 그 수단으로 “무단 접근” 즉 스크래핑을 언급함
    Hacker News에서 말하는 스크래핑은 이 소송의 대상이 아니고, Ryanair의 원한은 스크래핑이 아니라 “해적 온라인 여행사”인 재판매업자들을 향해 있음
  • 내가 이해하기로는 데이터를 읽기 전용으로 스크래핑하는 건 괜찮음. Google Flights나 Skyscanner 같은 방식임
    하지만 고객을 대신해 Ryanair 사이트로 보내지 않고 자동화된 절차로 티켓을 예약하는 건 괜찮지 않음
  • 공개된 게 아니라, 규칙이 있는 상태로 일반 접근이 가능한 것임
    실제 상점이 기본적으로 누구에게나 열려 있지만, 주인은 행동이 나쁘면 거래를 거부하고 출입을 막을 권리가 있는 것과 비슷함
    문제는 Booking.com 같은 회사가 어떤 기술적 장벽도 우회할 수 있어서 웹사이트 접근을 쉽게 막기 어렵다는 데 있음
  • 사실 최저가 항공편을 찾으려고 직접 RyanAir 스크레이퍼를 만든 적 있음
    구현은 사소하고, 속도 제한도 거의 없음. 특히 특정 공항에서 출발하는 항공편을 검색하는 API 엔드포인트를 쓰면 더 그렇음
    다만 나는 몇 편만 찾는 수준이라 스크래핑 양이 훨씬 적을 것 같음
  • 단순 스크래핑은 한 가지 문제고, 동의한 조건을 어기며 재판매하려고 스크래핑하는 건 완전히 다른 문제임

• 나라면 모든 항공사가 운임을 기계가 읽을 수 있는 형식으로 공개하도록 의무화했을 것임

  • 한때는 그렇게 해야 했음. 지금도 그럴 수 있는데 확실하진 않음. 적어도 미국 출도착 항공편을 제공하려면 그랬음
    https://en.wikipedia.org/wiki/ATPCO
    하지만 이 데이터를 제대로 해석하는 건 분명히 쉽지 않고, 코드가 100만 줄이 넘는 수준임
    가격 표시가 예약까지 허용된다는 뜻은 아님
    1999년쯤에도 Southwest는 우리가 ITA Software에서 어떤 항공사 항공편도 예약할 방법을 제공하지 않았는데도, 자기 운임을 보여주는 것만으로 괴롭혔음
  • 별도 웹사이트에 운임을 표시하는 건 문제가 아님
    문제는 티켓 재판매임. 다른 집계 서비스들은 재판매하려면 Ryanair에 라이선스 비용을 내야 하는데, Booking은 RPA를 써서 그걸 피하고 있음
  • Ryanair는 이미 그렇게 하고 있음
    그 기계는 브라우저를 실행하는 당신 컴퓨터임

• 법률 전문가는 아니지만, 두 유럽 회사의 분쟁이 미국 법원에서 다뤄졌다는 게 흥미로움
  한 가지 가설은 Ryanair 변호사들이 EU 법원보다 미국 법원에서 승산이 더 높다고 봤을 수 있다는 것임

  • Booking은 이제 미국 회사 아닌가? Amsterdam의 회사는 Delaware 회사의 자회사이고, 본사는 Connecticut에 있음