[보안 이슈] 국세청은 ‘환급 안내’ 메일을 보내지 않습니다 — AI로 정교해진 사칭 피싱 거르는 3가지 체크포인트

AI가 없앤 것은 ‘문장의 어색함’이라는 신호였습니다

과거 피싱 메일을 걸러내던 무기는 사실 ‘위화감’이었습니다. 기계 번역 티가 나는 문장, 띄어쓰기 오류, 어울리지 않는 이미지 — 이런 부자연스러움이 “이건 가짜”라는 경보음 역할을 했습니다.

문제는 이 경보음이 AI로 사라졌다는 점입니다. 생성형 언어 모델은 관공서 특유의 딱딱한 공문 어투를 완벽하게 흉내 냅니다. 여기에 최근 공격은 PhaaS(Phishing-as-a-Service, 피싱 서비스형 공격 도구)를 활용해 발신 주소를 국세청 공식 도메인처럼 위조하고 하나은행 보안 메일까지 사칭하는 형태로 진화했습니다. 이제 “문장이 자연스러우니 진짜겠지”라는 판단은 가장 위험한 착각입니다. 글의 느낌이 아니라 구조적 사실 세 가지로 판별해야 합니다.

체크포인트 1 — 발신 도메인은 확인하되, 그것만 믿지는 마세요

국세청이 실제로 쓰는 공식 발신 주소는 @nts.go.kr과 hometax.go.kr 두 가지뿐입니다. 발신인 이름이 ‘국세청’이라고 크게 떠 있어도, 실제 주소가 nts-korea.com, hometax-refund.net처럼 미묘하게 다르면 100% 사칭입니다.

체크포인트 2 — 링크는 누르지 말고, 직접 hometax.go.kr을 치세요

피싱 메일의 목적은 단 하나, 첨부파일을 열거나 링크를 클릭하게 만드는 것입니다. AI는 문장을 다듬을 뿐, 링크가 향하는 목적지까지 바꾸지는 못합니다. 바로 이 지점이 가장 확실한 판별선입니다.

• 링크 위에 마우스를 올려(모바일은 길게 눌러) 실제 연결 주소를 확인합니다. hometax.go.kr이 아니라 낯선 주소가 뜨면 가짜입니다.
• 아무리 급해 보여도 메일 속 버튼·링크는 누르지 않고, 브라우저 주소창에 hometax.go.kr을 직접 입력해 접속합니다.
• 진짜 환급금이나 통지가 있다면 홈택스에 로그인했을 때 그대로 확인됩니다. 메일 링크가 없어도 놓칠 일이 없습니다.

이 원칙만 지키면 발신 주소가 완벽하게 위조된 메일이 와도 피해를 입지 않습니다. 정보를 입력하는 ‘창구’를 내가 직접 여는 순간, 가짜 사이트로 흘러갈 경로가 원천 차단되기 때문입니다.

체크포인트 3 — 국세청이 ‘메일로 하지 않는 일’을 기억하세요

가장 강력한 판별 기준은 기술이 아니라 사실 관계입니다. 국세청은 다음과 같은 내용을 이메일로 안내하지 않습니다.

실수로 링크를 눌러 정보를 입력했다면?

Q. 이미 가짜 사이트에 로그인 정보나 계좌번호를 입력했다면 어떻게 하나요?
즉시 해당 계정 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 사이트도 모두 변경하세요. 금융 정보를 입력했다면 카드·계좌 정지를 요청하고, 명의도용이 걱정되면 명의도용 방지 서비스를 신청해 두는 편이 안전합니다.

Q. 의심 메일은 어디에 신고하나요?
열지 말고 삭제한 뒤, 경찰청(☎182) 또는 KISA(한국인터넷진흥원, ☎118)에 신고하면 됩니다. 진위가 헷갈릴 땐 국세청 콜센터(☎126)로 직접 문의하는 것이 가장 빠릅니다.

이 세 가지만 습관으로 만들면 됩니다

발신 주소는 ‘안심 확인 서비스’로 검증하고, 링크는 누르지 말고 hometax.go.kr을 직접 입력하며, 국세청이 메일로 하지 않는 일 목록을 기억하는 것. 이 세 가지는 AI가 문장을 아무리 정교하게 다듬어도 흔들리지 않는 판별선입니다.

※ 참고: 국세청, 「국세청 사칭 해킹메일 주의안내」