이번 세금 시즌에는 절세에만 집중하지 말고 평소보다 더욱 경각심을 가져야 합니다. 어느 날 갑자기 스피어 피싱(Spear Phishing)의 다음 희생자가 될 수도 있기 때문입니다. 사이버 범죄자들은 사람들이 절세에 몰두하고 정부로부터 환급금을 받기를 바라는 심리를 교묘히 역이용하고 있습니다.
공격자는 회사 CEO의 이메일 주소를 그럴듯하게 위장한 메일을 직원들에게 발송하고, 직원들의 W-2 양식을 공유하라고 요구합니다. 이렇게 확보한 개인 데이터를 바탕으로 공격자는 가짜 세금 신고서를 작성해 환급금을 가로챕니다.
특히 영국에 거주하는 경우, 환급금을 약속하며 HM Revenue & Customs(영국 세무 관세청)를 사칭하는 피싱 공격을 접할 수 있습니다. 메일 속 링크를 클릭하면 실제 사이트처럼 보이는 페이지로 연결되어 이름, 주소, 전화번호, 신용카드 정보, 모친의 성, 신분증 번호까지 입력하게 됩니다. 결국 공격자에게 모든 기밀 정보가 넘어가 본격적인 신원 도용으로 이어질 수 있는 것입니다.
이와 유사한 수법은 프랑스, 호주, 미국에서도 보고된 바 있으며, 수많은 기업과 직원들이 이미 이 스피어 피싱 공격에 속아 넘어갔습니다. 공격자는 "재무상 긴급한 사정이 있다"며 W-2 양식을 요구하고, 이에 속은 인사(HR) 또는 재무 부서 직원이 회사의 W-2 양식을 CEO나 고위 경영진에게 보내도록 유도하는 방식입니다.
W-2 양식이란?
W-2 양식은 고용주가 발행하는 미국 연방 세금 서식으로, 직원이 1년간 납부한 세액을 명시합니다. 직원의 이름, SSN(사회보장번호) 등 기밀 데이터가 포함되어 있으며, '정보 신고서(informational return)'라고도 불립니다.
이 데이터에는 승인된 담당자, 즉 인사팀이나 재무 부서만 접근할 수 있습니다.
스피어 피싱이란?
스피어 피싱은 특정 조직이나 개인을 표적으로 삼아 기밀 정보에 대한 접근을 시도하는 이메일 스푸핑(spooofing) 공격입니다. 사칭, 접근 통제 우회 기술 등 교묘한 전술을 활용해 희생자의 주의를 끕니다.
스피어 피싱은 어떻게 작동할까?
스피어 피싱은 선별된 개인이나 직원을 겨냥합니다. 대부분의 기업이 임원진의 성명, 직책, 이메일 주소를 공개하고 있기 때문에 공격자는 큰 노력 없이도 필요한 정보를 입수할 수 있습니다. 결국 이러한 정보는 해커들이 피싱 메일을 보내고 특정 인물을 사칭하기 위한 '보물창고'가 되는 셈입니다.
스피어 피싱 방어 방법
어떤 형태의 피싱이든 결국 민감한 데이터 유출로 이어집니다. 이를 방치하면 기업은 데이터 침해와 신원 도용 사건을 겪게 됩니다. JP모건, 홈디포(Home Depot), 타깃(Target) 등은 수백만 달러의 손실과 고객 기록 유출을 겪은 대표적인 사례입니다.
공격자는 대기업뿐 아니라 중소기업도 집중적으로 노립니다. 중소기업은 인력 부족으로 보안 인프라가 상대적으로 취약하기 때문에 표적이 되기 쉽습니다.
이메일은 조직에서 가장 널리 쓰이는 소통 수단인 만큼, 스피어 피싱 공격에 대비한 보안 체계를 갖추는 것이 필수입니다. 아울러 직원들에게 다양한 피싱 기법에 맞설 수 있는 보안 교육을 실시하고, 정상 메일과 피싱 메일을 구분하는 방법을 반드시 숙지시켜야 합니다.
다음은 이러한 사기로부터 자신과 조직을 지킬 수 있는 핵심 수칙입니다:
- 의심스러운 이메일이라면 가장 먼저 오탈자나 어색한 어휘가 있는지 확인하세요.
- 누구도 우회할 수 없도록 강력한 보안 네트워크를 구축해야 합니다.
- 기밀 정보를 요구하는 이메일을 받으면, 해당 요청자에게 먼저 사실 여부를 확인하세요. 단, 절대 의심스러운 메일에 적힌 전화번호나 이메일 주소로는 연락하지 말고, 반드시 신뢰할 수 있는 별도의 경로를 통해 교차 확인해야 합니다.
- 암호화되지 않은 이메일로 기밀 정보를 공유하거나 전송하지 마세요.
- 세금 신고를 완료한 후에는 관련 데이터를 개인 컴퓨터에 저장해 두지 마세요.
- 공공 또는 공용 시스템에는 사용자 이름이나 비밀번호를 저장하지 마세요.
- 마지막으로, 클릭하기 전에 한 번 더 생각하세요!