국세청 사칭 QR 우편, 가상자산 보유자 노렸다

미국에서 국세청을 사칭한 종이 우편과 QR코드가 가상자산 보유자를 겨냥한 사기 수단으로 쓰이고 있다. 가짜 세금 통지처럼 꾸민 편지는 수신자에게 존재하지 않는 ‘디지털자산 준수 포털’ 등록을 요구했다.

미국 국세청(IRS) 범죄수사국은 7월 30일 가상자산 보유자에게 발송된 위조 우편을 경고했다. 국세청은 해당 우편을 보내지 않았고 ‘Digital Asset Compliance Portal’이라는 포털도 운영하지 않는다고 밝혔다.

코인베이스($COIN) 보안팀은 위협정보업체 DarkTower와 함께 7월 28일 공개한 분석에서 이 사기가 종이 우편, 가짜 웹사이트, 전화 연락으로 이어지는 구조라고 설명했다. 우편은 미국 재무부와 국세청 양식을 흉내 냈고, 통지 번호 CP14-432RA와 2017~2026년 세무연도 범위를 적었다.

QR코드는 IRS.gov가 아닌 유사 도메인으로 연결됐다. 국세청이 실제 세무 통지에 우편을 활용한다는 점을 악용해 수신자가 공식 절차로 오인하게 만든 방식이다.

가짜 사이트는 비밀번호나 시드문구를 곧바로 요구하지 않았다. 먼저 이용자가 어느 거래소나 지갑을 쓰는지, 보유 규모가 어느 정도인지, 연락 가능한 전화번호가 무엇인지 묻는 방식이었다.

코인베이스와 DarkTower는 이 절차가 피해자를 선별하고 이후 전화 사기로 넘기기 위한 단계라고 봤다. 보유 규모 선택지는 10만 달러(약 1억3950만원) 이상까지 제시된 것으로 분석됐다.

위험은 후속 전화에서 커진다. 사기범은 국세청, 거래소, 준수 포털 담당자를 사칭해 2단계 인증 코드, 비밀번호, 복구문구를 요구할 수 있다.

또 ‘안전 지갑’이라며 새 지갑으로 자산을 옮기라고 유도할 수도 있다. 코인베이스는 고객에게 QR코드를 스캔하지 말고, 편지나 사이트에 적힌 전화번호로 연락하지 말라고 안내했다.

비싱은 전화를 이용해 개인정보나 인증 정보를 빼내는 음성 피싱 방식이다. 이번 사례에서는 가짜 웹사이트가 직접 자산을 탈취하는 창구라기보다 후속 전화를 위한 분류 창구로 쓰였다는 점이 특징이다.

DarkTower는 해당 유사 도메인이 우편 발송 직전 홍콩 등록기관을 통해 만들어졌고, 루마니아 호스팅 인프라를 사용했다고 분석했다. 이 인프라는 은행과 배송업체를 사칭한 피싱 페이지와도 연관된 것으로 제시됐다.

이번 사안은 미국 국세청을 사칭한 위조 서한과 가짜 웹사이트가 암호자산 지갑과 개인정보 탈취에 악용될 수 있다는 경고의 연장선에 있다. 당시에도 가짜 ‘디지털자산 준수 포털’과 QR코드가 핵심 수법으로 지목됐다.

가상자산 투자자를 겨냥한 사기는 이미 큰 피해로 이어지고 있다. 미국 연방수사국(FBI)은 2025년 인터넷범죄보고서에서 가상자산 관련 신고 18만1565건의 손실이 113억6600만 달러(약 15조8556억원)를 넘었다고 밝혔다.

정부 사칭 사기는 3만2424건, 손실 7억9800만 달러(약 1조1132억원)로 집계됐다. 정부기관 이름과 세금 신고 절차를 내세운 사기가 가상자산 보유자에게 더 그럴듯하게 보일 수 있는 배경이다.

국세청은 디지털자산 거래가 세금 신고 대상이 될 수 있다고 안내해 왔다. 이 때문에 실제 세무 통지와 사기 우편을 구분하기 어려울 수 있다.

국세청은 의심스러운 편지를 받으면 우편에 있는 QR코드나 연락처를 쓰지 말고 IRS.gov의 공식 안내를 통해 확인하라고 밝히고 있다. 발송 규모나 피해액은 특정되지 않았다.