[샬롯, N.C.=김선엽 기자] 미국 전역에서 국세청(Internal Revenue Service, IRS)을 사칭한 우편 사기가 한층 정교해지며 납세자들의 각별한 주의가 요구되고 있다. 특히 최근에는 실제 IRS 통지서와 거의 구별이 어려운 문서에 QR코드를 삽입해 개인정보를 탈취하는 이른바 ‘퀴싱(Quishing)’ 수법이 확산되고 있는 것으로 나타났다.
전문가들에 따르면 사기범들은 IRS의 공식 서식과 로고, 문서번호까지 그대로 모방한 가짜 편지를 제작해 우편으로 발송한 뒤, “환급 확인”, “세금 납부”, “계정 인증” 등을 이유로 QR코드 스캔을 유도하고 있다. 문제는 이 QR코드를 스마트폰으로 스캔할 경우, 실제 IRS 홈페이지와 매우 유사하게 꾸며진 피싱 사이트로 연결된다는 점이다. 이용자가 해당 사이트에 접속해 로그인 정보나 은행 계좌, 사회보장번호(SSN)를 입력하면 즉시 정보가 탈취될 수 있다.
보안업계는 이러한 공격 방식이 기존 이메일 피싱보다 훨씬 위험하다고 분석한다. QR코드는 링크 주소가 사전에 노출되지 않기 때문에 사용자가 의심하기 어렵고, 모바일 환경에서는 보안 필터를 우회하기도 쉽기 때문이다. 실제로 최근 들어 QR코드를 활용한 피싱 공격은 급증세를 보이며 정부기관 사칭 사례로까지 확대되고 있다.
그러나 전문가들은 “겉모습이 아무리 정교해도 몇 가지 핵심 기준만 알면 구별이 가능하다”고 강조한다.
우선 **진짜 IRS 편지의 가장 큰 특징은 ‘행정 안내 중심’**이라는 점이다. 공식 통지서는 특정 문제를 설명하고 해결 절차를 안내하는 형식으로 작성되며, 납세자에게 즉각적인 행동을 강요하지 않는다. 또한 대부분의 경우 우편에 명시된 내용은 납세자가 직접 IRS 공식 웹사이트에 접속하거나 계정을 통해 동일하게 확인할 수 있다.
반면 사기 편지는 ‘행동 유도’가 핵심이다. “지금 당장 확인하지 않으면 환급이 취소된다”, “즉시 납부하지 않으면 처벌된다”는 식의 긴급성과 위협을 강조하며, QR코드나 특정 링크를 통해서만 해결할 수 있는 것처럼 안내한다. 특히 계좌정보나 로그인 정보를 입력하도록 요구하는 경우는 사실상 사기로 봐도 무방하다는 것이 전문가들의 공통된 지적이다.
QR코드 자체에 대한 오해도 주의가 필요하다. 최근 일부 IRS 문서에 제한적으로 QR코드가 포함되는 사례가 등장하면서 혼란이 커지고 있지만, 핵심은 QR코드의 ‘존재 여부’가 아니라 ‘사용 방식’이다.
정상적인 IRS 안내에서는 QR코드가 단순 보조 수단에 불과하며, 이를 사용하지 않고도 공식 웹사이트(IRS.gov)를 통해 동일한 업무를 처리할 수 있다. 반대로 사기 문서는 QR코드가 사실상 유일한 접근 경로로 제시되는 경우가 많다.
연방 당국은 “IRS는 납세자에게 문자나 이메일로 먼저 연락하지 않으며, QR코드를 통해 결제나 계정 인증을 요구하는 방식도 사용하지 않는다”고 재차 강조했다. 또한 의심스러운 편지를 받았을 경우 QR코드를 스캔하거나 링크를 클릭하지 말고, 반드시 공식 경로를 통해 사실 여부를 확인해야 한다고 당부했다.
전문가들은 특히 “우편으로 받았다는 이유만으로 신뢰하는 것은 매우 위험하다”며 “공식 문서처럼 보일수록 오히려 한 번 더 의심해야 한다”고 지적했다.
한편, 이러한 QR코드 기반 사기는 IRS뿐 아니라 교통 위반 통지서, 법원 출석 요구서, 배송 안내 등 다양한 형태로 빠르게 확산되고 있어 일반 시민들의 각별한 주의가 요구된다.
