연말정산 미리보기 안내 문자, 국세청 사칭 스미싱 구별법

과학기술정보통신부와 한국인터넷진흥원(KISA)이 집계한 자료를 보면, 최근 3년간 신고·차단된 문자사기 건수는 약 274만 건에 달하고 이 중 정부·공공기관을 사칭한 유형이 59.4%로 가장 큰 비중을 차지했다. 그리고 이 수치는 매년 11월, 홈택스 연말정산 미리보기 서비스가 열리는 시점에 맞춰 한 번씩 더 뛴다. “환급 예상액을 확인하라”거나 “소득세 미납 안내”라는 제목의 문자가 이 시기에 집중적으로 유포되기 때문이다.

문제는 이 문자들이 예전처럼 어설픈 외국어 번역투가 아니라는 점이다. 실제 국세청 안내문과 거의 비슷한 어휘와 포맷을 쓰면서 링크 하나만 악성 주소로 바꿔 넣는 식이라, 평소 이런 문자를 의심 없이 열어보던 사람도 11월에는 한 번 더 확인하는 습관이 필요하다.

왜 11월마다 국세청 사칭 문자가 늘어나는가

홈택스의 연말정산 미리보기 서비스는 보통 11월 초에 열린다. 1월부터 9월까지의 신용카드·현금영수증 사용액이 자동으로 반영되고, 근로자는 이 시점에 자신의 예상 환급액이나 추가 납부액을 미리 확인할 수 있다.

스미싱 조직 입장에서는 이 시기가 노리기 좋은 타이밍이다. 평소라면 “국세청”이라는 발신인만 봐도 의심했을 사람도, 연말정산 환급 시즌에는 “혹시 진짜 환급 안내인가” 하는 생각에 한 번 더 들여다볼 확률이 높아지기 때문이다. 실무에서 보면, 이렇게 시의성에 맞춘 사칭 문자는 평소보다 클릭률이 눈에 띄게 올라가는 경향이 있다 — 사기 조직도 이 패턴을 알고 있어서 11월, 그리고 다음 해 1~2월 연말정산 신고 기간에 맞춰 문자 발송량을 늘린다.

금융위원회 자료에 따르면 이런 사칭 문자는 대체로 아래 세 가지 형태로 온다.

• “연말정산 환급 예상액을 확인하세요”라며 외부 링크 클릭을 유도하는 문자
• “소득세 미납 안내”라는 제목으로 개인 명의 계좌에 소액을 입금하도록 유도하는 문자
• 국세청 로고가 들어간 이메일로 포털 로그인 페이지처럼 위장한 화면에 접속하게 만드는 메일

한국인터넷진흥원이 매월 집계하는 스미싱 탐지 통계를 보면, 이런 유형의 문자는 특정 달에 몰리는 경향이 뚜렷하다. 신학기가 시작되는 2~3월에는 등록금·장학금을 미끼로 한 문자가, 명절 전후에는 택배·선물 배송을 미끼로 한 문자가 늘어나는 식으로 사기 조직은 그 시기 사람들이 가장 자주 받는 ‘진짜 알림’의 형태를 그대로 따라간다. 11월은 연말정산 미리보기 외에도 수능 성적표 발표, 연말 각종 환급·정산 안내가 겹치는 달이라 공공기관을 사칭한 문자의 전체 발송량 자체가 다른 달보다 늘어나는 특징이 있다.

특히 노려지는 대상도 뚜렷하다. 연말정산을 처음 해보는 사회초년생, 평소 문자 속 링크를 자주 눌러온 고령층, 그리고 회사 급여·세무 업무를 맡아 많은 직원의 연말정산 자료를 다루는 인사담당자가 대표적이다. 사회초년생은 “환급액이 이 정도면 맞는 건가” 싶어 확인차 누르는 경우가 많고, 고령층은 공공기관 발신이라는 표현 자체에 상대적으로 쉽게 신뢰를 보낸다. 인사담당자는 업무상 세금 관련 문자를 자주 받다 보니 경계심이 낮아지기 쉽다는 점에서 위험도가 다르게 작용한다.

실제로 어떤 내용으로 오는가 — 사례로 보는 문구

국세청과 보안 업계가 공개한 사례를 종합하면, 실제로 유포된 문자는 대략 이런 식이다.

두 번째 유형이 특히 위험하다. 공공기관은 원칙적으로 세금이나 과태료를 개인 명의 계좌로 받지 않는다. 국세청이 실제로 돈을 받아야 하는 상황이라면 홈택스나 은행 자동이체, 가상계좌(국세청 명의)를 통하지, 특정 개인 이름이 적힌 계좌번호를 문자로 보내는 방식을 쓰지 않는다. 이 한 가지만 기억해도 두 번째 유형은 바로 걸러낼 수 있다.

첫 번째 유형처럼 짧은 URL이나 낯선 도메인으로 연결되는 링크도 마찬가지다. 실제 홈택스 주소는 hometax.go.kr이라는 공식 도메인만 쓰고, 단축 URL이나 “-refund”, “-tax2026” 같은 단어가 붙은 변칙 도메인을 쓰지 않는다.

세 번째 유형인 이메일 피싱도 수법이 비슷하다. 실제 국세청 로고와 서식을 그대로 가져와 “전자세금계산서 발급 안내”, “세무조사 통지서 열람” 같은 제목을 달고, 메일 안의 ‘열람하기’ 버튼을 누르면 포털 사이트 로그인 화면과 거의 똑같이 생긴 가짜 페이지로 연결된다. 이 화면에 실수로 아이디와 비밀번호를 입력하면 그 계정이 그대로 탈취된다. 국세청은 이런 메일을 받았을 때 절대 그 화면에서 로그인하지 말고, 메일을 바로 삭제한 뒤 포털 사이트 비밀번호를 변경하라고 안내하고 있다.

실제로 보고되는 사례를 일반화해 보면 흐름은 대체로 비슷하다. 11월 중순, 한 직장인이 “연말정산 환급금이 조회되었다”는 문자를 받고 링크를 눌러 확인해보니 공식 홈택스와 거의 똑같은 디자인의 페이지가 열렸고, 여기에 공동인증서 비밀번호와 주민등록번호를 입력했다가 이틀 뒤 본인 명의로 소액결제가 여러 건 발생한 것을 알게 되는 식이다. 이런 경우 피해자 대부분은 “화면이 진짜 홈택스와 똑같아서 의심하지 못했다”고 말한다 — 그만큼 디자인의 유사성만으로는 진위를 판단하기 어렵고, 결국 도메인 주소와 발신 경로를 확인하는 습관이 유일하게 믿을 수 있는 기준이 된다.

진짜 연말정산 안내와 가짜 스미싱, 이렇게 다르다

이 표에서 가장 중요한 줄은 발신 번호와 연결 주소 두 가지다. 공식 .go.kr 도메인이 아니거나 개인 휴대전화·인터넷 전화 번호로 온 세금 관련 문자는 일단 의심하는 것이 가장 빠른 판별법이다.

도메인을 확인할 때는 주소창에 표시되는 전체 문자열을 끝까지 봐야 한다는 점도 중요하다. 예를 들어 “hometax.go.kr.secure-login.com”처럼 앞부분에 익숙한 이름을 붙이고 뒤에 진짜 도메인을 숨기는 방식이 흔히 쓰인다. 도메인 주소는 맨 뒤에서부터 거슬러 읽어야 진짜 운영 주체가 드러나는데, 이 사례라면 실제 운영 주체는 hometax.go.kr이 아니라 secure-login.com이 된다. 평소 이 원리를 모르고 “hometax라는 글자가 보이니 맞겠지”라고 넘기면 당하기 쉬운 수법이다.

문자를 받았을 때 바로 확인할 체크리스트

아래 항목 중 하나라도 해당하면 링크를 누르지 말고 별도로 확인하는 것이 안전하다. 체크리스트는 한 번 읽고 넘기기보다, 실제로 의심스러운 문자를 받았을 때 하나씩 대조해보는 식으로 활용하는 것이 가장 효과적이다.

• 문자에 포함된 링크가 hometax.go.kr이 아닌 다른 도메인으로 연결된다
• 발신 번호가 일반 휴대전화 번호이거나 070으로 시작하는 인터넷 전화 번호다
• “금일 중”, “지금 바로” 같은 긴급성을 강조하는 표현이 들어 있다
• 세금이나 과태료를 개인 명의 계좌로 입금하라고 안내한다
• 평소 쓰지 않던 줄임 URL(bit.ly 등)이나 숫자·영문이 섞인 낯선 도메인이다
• 본인이 홈택스에 등록한 연락처가 아닌 번호로 받았다

확인이 필요하면 문자에 적힌 링크나 전화번호를 쓰지 말고, 포털에서 직접 홈택스(hometax.go.kr)를 검색해 접속하거나 국세청 대표번호로 별도 전화를 거는 방식을 쓰는 것이 가장 안전하다.

가족, 특히 스마트폰 사용에 익숙하지 않은 부모님 세대에게는 이 체크리스트를 그대로 공유해두는 것도 효과적이다. 본인이 직접 판단하기보다 “링크 누르기 전에 자녀에게 먼저 사진을 찍어 보내 달라”는 약속 하나만 정해둬도 피해를 상당 부분 막을 수 있다. 실제로 고령층 피해 사례의 상당수는 판단력이 부족해서가 아니라, 혼자 빠르게 결정해야 한다는 압박감 때문에 발생한다는 점을 생각하면 이런 사전 약속이 생각보다 큰 효과를 낸다.

링크를 눌렀거나 피해가 의심될 때 대응 순서

이미 링크를 눌렀거나 앱을 설치했다면, 당황해서 방치하는 것이 가장 나쁜 대응이다. 아래 순서대로 빠르게 처리하는 것이 중요하다.

1. 휴대폰을 비행기 모드로 전환해 추가 데이터 전송을 차단한다.
2. 모바일 백신 앱으로 전체 검사를 실행해 의심되는 앱을 삭제한다.
3. 카드사·은행 콜센터에 연락해 소액결제 차단과 계좌 지급정지를 요청한다.
4. 한국인터넷진흥원(KISA) 118로 전화해 스미싱 피해 상담을 받는다.
5. 전자금융사기가 의심되면 전자금융사기 통합신고대응센터에 신고 접수를 진행한다.

신고는 생각보다 간단하다. 한국인터넷진흥원(KISA) 보호나라 – 스미싱 신고 안내 페이지에는 국번 없이 118로 거는 방법과 카카오톡 ‘보호나라’ 채널의 스미싱·큐싱 메뉴로 접수하는 방법이 함께 안내되어 있다. 금전 피해까지 발생했다면 금융위원회 – 정부·행정기관 사칭 스미싱 주의 안내에서 금융회사 콜센터를 통한 지급정지 절차도 함께 확인해두면 도움이 된다.

다만 이 부분은 오해하기 쉬운데, 118에 신고한다고 해서 이미 빠져나간 돈이 자동으로 돌려받아지는 것은 아니다. 118은 스미싱 분석·차단과 상담을 담당하고, 실제 계좌 지급정지나 환급 절차는 은행·카드사와 경찰(사이버수사대, 112)을 통해 별도로 진행해야 한다는 점을 함께 알아두는 것이 좋다.

피해 복구 이후에도 한 번의 신고로 끝내지 않는 것이 중요하다. 스미싱으로 유출된 개인정보는 몇 주, 몇 달 뒤에 다른 방식의 사기에 재사용되는 경우가 적지 않기 때문에, 카드 사용 내역과 명의도용 여부를 최소 한두 달 정도는 평소보다 자주 들여다보는 것이 안전하다.

자주 묻는 질문

Q. 국세청이 실제로 문자나 카카오톡으로 연말정산 안내를 보내기도 하나요?
국세청이 공식 알림톡이나 안내 메시지를 보내는 경우가 있긴 하지만, 이 경우에도 클릭을 유도하는 외부 링크 대신 홈택스 접속을 안내하는 수준에 그친다. 구체적인 환급 금액을 문자 안에 바로 적어 보여주면서 외부 링크 클릭을 유도하는 방식은 쓰지 않는다.

Q. 발신 번호가 1588이나 126처럼 대표번호로 와도 의심해야 하나요?
그렇다. 최근에는 발신 번호 자체를 조작하는 ‘스푸핑’ 수법도 있어서, 대표번호로 왔다는 것만으로 안심할 수는 없다. 번호가 맞더라도 링크 주소가 공식 도메인인지를 함께 확인하는 것이 더 확실하다.

Q. 전화로 “국세청 직원”이라며 개인정보를 요구하면 어떻게 대응해야 하나요?
일단 전화를 끊고, 안내받은 번호가 아니라 포털에서 직접 검색한 국세청 대표번호로 다시 걸어 사실 여부를 확인해야 한다. 공공기관 직원은 전화로 주민등록번호 전체나 계좌 비밀번호, 보안카드 번호를 요구하지 않는다는 원칙만 기억해도 이런 유형의 전화 사기는 대부분 걸러낼 수 있다.

연말정산 환급은 매년 반복되는 일이라 많은 사람이 익숙하게 받아들이지만, 바로 그 익숙함을 노리는 것이 사칭 문자의 전략이다. 문자 하나에 적힌 금액과 기한에 즉각 반응하기보다, 링크를 누르기 전 발신 번호와 도메인 두 가지만 짚어보는 습관을 들이면 대부분의 피해를 막을 수 있다.

결국 이런 문자를 완전히 피하는 방법은 없다. 발송 자체를 막을 수는 없기 때문에, 매번 “이 문자가 진짜인지” 스스로 판단할 수 있는 기준을 갖고 있는 것이 유일한 방어선이다. 이 글에서 정리한 체크리스트를 가족 단체채팅방에 한 번 공유해두는 것만으로도, 11월부터 연말정산 신고가 끝나는 다음 해 초까지 이어지는 사칭 문자 시즌을 한층 안전하게 넘길 수 있다.

함께 확인하면 좋은 연말정산 스미싱 체크리스트

연말정산 스미싱이라면 저축은행 계열사 예금자보호, 나눠 넣으면 진짜 1억씩 될까까지 함께 챙겨보시면 도움이 됩니다. 연말정산 스미싱을 준비 중이라면 한로 절기, 찬 이슬이 맺히는 날의 뜻과 옛 풍습 그리고 지금 생활도 미리 점검해두는 것이 좋습니다. 관련해서 사촌·오촌·육촌, 촌수 계산법 한 번에 정리합니다 내용도 함께 확인해두면 실수를 줄일 수 있습니다. 아울러 추석 지방 쓰는 법, 부모님 중 한 분만 돌아가셨을 때 이렇게 씁니다에 대해서도 궁금하시다면 참고하시길 권합니다.