“납세자·세무 전문가 노린 사기 피싱 공격 급증”

IRS, 보안 서밋서 경고

회계사 해킹 시도 급증

고객 수천 명 정보 유출

이메일 출처 반드시 확인

 

 

연방 국세청(IRS)과 주 세무기관, 세무 업계가 참여하는 보안서밋(Security Summit)이 세무 전문가들을 대상으로 한 피싱 이메일과 사이버 공격이 증가하고 있다며 각별한 주의를 당부했다.

 

IRS는 공인회계사(CPA), 세무보고 대행업체, 세무 전문가들이 보유한 납세자 개인정보를 노리는 범죄가 계속 진화하고 있다고 경고했다.

 

과거에는 무작위로 이메일을 보내는 단순한 피싱이 많았다면 최근에는 특정 세무사를 겨냥한 ‘스피어 피싱‘(Spear Phishing) 공격이 증가하고 있다.

 

대표적인 수법은 범죄자가 가상의 신규 고객으로 가장해 “세금 신고를 맡기고 싶다”며 접근한 뒤, 재무자료·W-2·1099 서류처럼 보이는 악성 첨부 파일이나 링크를 보내는 방식이다.

 

세무사가 이 파일을 열면 악성 프로그램이 설치돼 컴퓨터에 저장된 고객 세금 자료, 사회보장번호(SSN), 은행 정보 등이 탈취될 수 있다. 세무 전문가들은 일반 소비자보다 훨씬 많은 민감 정보를 보유하고 있어 사이버 범죄자들의 주요 공격 대상이 되고 있다.

 

범죄자들이 노리는 정보는 납세자의 사회보장번호(SSN), 생년월일 및 주소, 소득 자료(W-2, 1099 등), 은행 계좌 정보, IRS 전자 신고 계정 정보, 세무 전문가 인증번호(PTIN, EFIN 등)를 포함한다.

 

특히 CPA 사무실 이메일 계정이나 클라우드 저장 시스템이 해킹되면 범죄자는 고객 자료를 이용해 가짜 세금보고서를 제출하고 부당 환급금을 신청할 수 있다.

 

IRS는 “세무 전문가 한 명의 보안 실패가 수많은 납세자의 신원 도용으로 이어질 수 있다”며 모든 세무업체가 자체 보안 계획을 마련해야 한다고 강조했다.

 

납세자들도 세금 관련 피싱 사기에 주의해야 한다.

 

가장 흔한 방식은 IRS를 사칭해 “환급금 지급이 보류됐다” “계정을 즉시 확인해야 한다” “세금 문제가 발생했다” “링크를 클릭해 개인정보를 업데이트하라” 등의 메시지를 보내는 것이다.

 

하지만 IRS는 이메일, 문자메시지, 소셜미디어 메시지를 통해 납세자의 사회보장번호나 은행 정보를 절대로 요구하지 않는다.

 

전문가들은 납세자가 반드시 기억해야 할 사항으로 ▲출처가 불분명한 IRS 이메일 링크를 클릭하지 않는다 ▲첨부파일을 열기 전에 발신자를 확인한다 ▲이메일로 받은 세금 관련 요청은 IRS 공식 웹사이트에서 직접 확인한다 ▲의심스러운 IRS 사칭 이메일은 IRS 신고 채널로 전달한다 등을 조언했다.

 

미국 내 신원도용 범죄는 계속 증가하고 있으며 세금 관련 사기는 그중에서도 심각한 분야로 꼽힌다. IRS는 2026년 세금 사기 쥐의 목록에서도 IRS 사칭 이메일·문자 피싱과 세무 전문가 대상 스피어 피싱을 주요 위험 요소로 선정했다.

 

또한 IRS 자료에 따르면 데이터 유출과 사이버 공격 상당수가 직원이나 사용자를 속이는 피싱 이메일에서 시작되는 것으로 나타났다. IRS는 세무 전문가 대상 공격 중 상당수가 신뢰할 만한 기관이나 고객을 가장해 접근한다고 설명했다.

 

최근에는 인공지능(AI)을 이용해 실제 고객이나 동료처럼 보이는 이메일을 만들고, 음성 복제 기술을 활용해 전화 사기를 시도하는 사례도 증가하고 있다. 특히 작은 규모의 CPA 사무실이나 개인 세무업체는 대형 회계법인보다 보안 시스템이 취약할 수 있어 더욱 주의가 필요하다.

 

IRS는 사이버 범죄자들이 세금 신고 시즌뿐 아니라 연중 내내 납세자와 세무 전문가를 공격하고 있다고 강조했다.

 

<조환동 기자>