“협회에서 정보 업데이트 요청합니다” 최근 회계사나 세무사 등 세무관련 종사자 협회를 사칭하며 CPA 등 세금보고 대행자에게 접근해 개인정보 탈취를 시도하는 이메일 피싱 사기가 기승을 부리고 있어 관계당국이 주의보를 발령했다.

연방국세청(IRS)에 따르면 지난 주 미 전역의 세무관련 전문직 종사자들로부터 자신들의 이메일 사용자 아이디와 비밀번호를 요구하는 사기성 이메일이 잇달아 들어왔다는 신고가 접수돼 IRS가 조사에 착수했다.

사기범들은 각 지역 세무관련 협회나 단체 명의로 개인 세금 보고를 대행하는 회계사나 세무사에게 무차별적으로 이메일을 발송해 상대방의 이메일 사용자 아이디와 비밀번호를 알아내려 한다고 IRS는 밝혔다. 사기범들이 사용하는 수법은 세무관련 전문직 종사자들이 가입해 있는 협회나 단체 명의를 사용한다는 점이 특징이다.

아무 의심없이 수신자가 사기성 이메일을 열어볼 경우 “새로운 정보를 보려면 해당 웹사이트로 연결되는 링크를 클릭하라”고 한 뒤 수신자의 이메일 아이디와 비밀번호를 입력하라고 요구한다.

하지만 이 사이트는 가짜 웹사이트로 연결하면 피싱 소프트웨어가 설치돼 사용자 아이디와 비밀번호 등이 고스란히 사기범의 손에 넘어가게 된다. 협회와 단체의 신뢰성을 역이용한 전형적인 사기 수법이다.

문제는 이런 수법의 사이버범죄가 한 지역에만 국한되지 않는다는 점이다. 사이버 범죄 속성상 사기 이메일 대상과 지역이 언제든지 바뀔 수 있다는 점에서 LA를 비롯한 캘리포니아주 내 지역도 이 같은 이메일 사기 범죄의 안전지대가 아닌 셈이다.

이들 이메일 피싱 사기범들의 목적은 결국 가로챈 회계사나 세무사들의 정보를 이용해 이들 고객들의 각종 데이터를 훔쳐 내려는 것이라고 IRS는 분석했다.

IRS는 가입해 있는 협회나 단체에서 온 메일이라도 다른 웹사이트로 연결하는 링크나 첨부 파일을 열지 말고 해당 협회나 단체에 먼저 확인하는 검증 절차를 거쳐야 한다고 조언했다. 또한 IRS 명의로 된 세금 관련 이메일이라도 수상한 점이 있다거나 이메일 사용자 아이디나 비밀번호를 요구하는 이메일을 받게 되면 IRS(phishing@irs.gov)로 신고해 줄 것을 당부했다.

IRS, e-Service, 세금업무용 소프트웨어 회사, 클라우드 서비스 제공 회사 등 신뢰할만한 곳에서 온 이메일이라도 수상하다는 느낌이 들면 절대 열어보지 말아야 한다. 특히 IRS는 세무관련 종사자들과 최초 연락 업무를 이메일로 하지 않는다는 점을 기억해야 한다.

여기에 개인용 컴퓨터나 랩탑 등에 안티바이러스 소프웨어를 설치해 주기적으로 업데이트하고, 비밀번호는 8글자 이상으로 설정할 것과 주요 문서에도 비밀번호를 부여하는 등 보안성을 강화하는 것이 필요하다.

이밖에 개인용 컴퓨터를 새것으로 교체할 때 예전 컴퓨터의 하드디스크를 포맷해 데이터를 삭제하는 것이 좋으며, 주요 데이터들은 별도의 저장장치에 백업을 해두고 고객 정보는 특정 개인만 접근할 수 있도록 조치해 두는 것을 권장한다고 IRS는 덧붙였다.

<남상욱 기자>