[해외보안뉴스] 미국 납세자 대상 330만 달러 탈취 피싱 해커, 징역 8년 중형 선고
· 2026-10-21 07:00
· 조회 11
· 원문 ↗
미국 회계 및 세무 대행 업체를 대상으로 스피어 피싱(Spearphishing) 공격을 감행해 330만 달러(한화 약 45억 원) 이상의 환급금을 탈취한 나이지리아 국적의 해커가 징역 8년형을 선고받았습니다. 피고인은 2019년부터 세무 전문가들을 속여 자격 증명을 탈취한 뒤, 악성 코드를 유포하여 확보한 타인의 개인정보로 허위 세금 신고서를 제출하고 미국 국세청(IRS)으로부터 불법 환급금을 수령한 것으로 밝혀졌습니다.
이번 사건은 미국 내 다수의 세무 법인과 수천 명의 납세자에게 직접적인 피해를 입혔습니다. 해커 일당은 탈취한 세무 전문가의 계정을 통해 시스템에 침입한 후, 고객들의 사회보장번호(SSN), 생년월일, 소득 정보 등 민감한 개인식별정보(PII)를 대량으로 유출했습니다. 이로 인해 실제 납세자들은 자신도 모르는 사이에 허위 세금 신고가 접수되어 정당한 환급이 지연되거나 심각한 신원 도용 피해를 입었습니다.
세무 및 금융 관련 기관을 노린 이와 같은 표적형 피싱 공격을 예방하기 위해서는 철저한 계정 보안과 임직원 보안 인식 제고가 필수적입니다. 모든 업무용 계정과 고객 관리 시스템에는 다중 인증(MFA)을 반드시 적용해야 하며, 의심스러운 이메일의 첨부파일이나 링크를 열람하지 않도록 정기적인 피싱 훈련을 실시해야 합니다. 아울러 이메일 인증 기술(SPF, DKIM, DMARC)을 도입하여 사칭 이메일의 유입을 사전에 차단하는 조치가 권장됩니다.
♥ 추천 0
스피어피싱을 통한 계정 탈취는 단순 소스코드 정적 분석이나 애플리케이션 보안만으로는 막기 어려운 위협입니다.
세무·금융 데이터를 다루는 시스템이라면 FIDO2 기반의 피싱 방지 MFA 도입과 함께, 인증된 세션이라도 민감 API 호출 시 재인증을 요구하는 제로 트러스트(Zero Trust) 아키텍처 설계가 필수적입니다.
개발 단계부터 RBAC(역할 기반 접근 제어)을 엄격히 적용하고 데이터 조회에 대한 이상 징후 탐지(Anomaly Detection) 파이프라인을 구축해 피해를 최소화해야 합니다.
이번 사건은 세무 대행업체라는 고가치 표적(High-Value Target)을 향한 스피어피싱이 초기 침투(Initial Access) 벡터로서 여전히 매우 강력하다는 점을 보여줍니다. 공격자 입장에서 세무 데이터는 즉각적인 자금 탈취로 이어지는 ROI(투자 대비 효율)가 매우 높은 자산이며, 업무 특성상 긴급한 이메일이 잦은 환경은 사회공학적 공격의 성공률을 극대화합니다. 이 같은 공격을 막으려면 단순 이메일 필터링을 넘어 계정 탈취 후 내부 가로 지르기(Lateral Movement)를 차단하는 다층 권한 관리와 실전형 피싱 모의 훈련이 필수적입니다.
타깃형 스피어 피싱을 통한 서드파티 공급망 공격은 단 한 번의 허점으로도 막대한 재무적 손실과 조직 신뢰도 실추를 야기합니다. 사법 당국의 강력한 실형 선고와 별개로, 경영진 관점에서는 '제3자 리스크 관리(TPRM)' 체계를 강화하고 Zero Trust 기반의 이메일 보안 거버넌스를 즉시 재정비해야 합니다. 기술적 통제 고도화와 함께 정기적인 훈련을 병행하여, 인적 취약성을 노린 위협에 대한 선제적 방어태세를 확립하겠습니다.