미국 연방 국세청(IRS) 웹사이트가 올들어 약 4개월간 해킹당해 납세자 10만명의 정보가 유출됐다고 IRS가 26일(현지시간) 발표했다.

국세청은 신원이 밝혀지지 않은 해커들이 올해 2월부터 이달 중순까지 웹사이트의 '증명서 발급'(Get Transcript) 시스템을 통해 납세자들의 개인 계정에 침입, 생년월일과 주소, 사회보장번호 등 개인정보를 훔쳤다고 밝혔다.

국세청은 해커들이 외부 정보를 활용해 납세자 개인만 알 수 있는 본인 확인 질문에 답하는 등 여러 단계에 걸친 인증 절차를 통과할 수 있었다고 밝혔다.

국세청은 약 20만명의 계정에 해커들이 접근을 시도해 그중 절반을 뚫는데 성공했다고 설명했다.

특히 이 과정에서 약 1만5천건, 5천만달러 규모에 달하는 허위 세금 환급이 이뤄진 것으로 국세청은 파악했다.

증명서 발급 시스템은 매년 수백만 미국인이 온라인에서 세금 납부를 할 때 사용하는 시스템으로, 최근 5년간의 세금 환급 내역 등 국세청의 모든 처리 내역을 볼 수 있다.

국세청은 다만 이 시스템이 분리된 컴퓨터 시스템에서 제공된다며 해커들이 컴퓨터를 해킹한 것은 아니라고 밝혔다.

국세청은 최근 증명서 발급 시스템을 폐쇄했으며, 피해자들에게 개별 통보하고 추가 피해가 없도록 무료로 개인정보 유출 여부를 확인할 수 있는 서비스를 제공하고 있다고 밝혔다.

존 코스키넨 국세청장은 "아마추어의 소행은 아닌 것으로 확신한다"며 "이번 일은 분명히 조직적인 범죄집단의 소행이며, 우리 뿐만 아니라 모든 금융산업을 다루는 집단"이라고 말했다.

국세청은 해커들이 개인정보를 확인할 때 필요한 질문들, 예를 들어 첫 자동차나 출신 고교 마스코트 등을 묻는 질문에는 개개인의 소셜미디어 계정을 뒤져 맞는 대답을 하는 수법을 썼다고 설명했다.

미국 금융 기관과 기업 등에 대한 해킹은 최근 자주 발생하고 있다.

지난해 10월에는 미국 최대은행인 JP모건체이스가 해킹을 당해 7천600만가구, 중소기업 700만곳 등 8천300만건의 개인정보가 유출됐다.

당시 러시아나 중국 해커 등의 소행으로 의심됐으며, 올해 3월 미국 수사당국이 미국과 범죄인 인도협약에 체결된 국가에 거주하는 일부 해킹범들에 대한 기소를 준비하고 있는 것으로 전해졌다.

2013년에는 대형 유통업체 타깃에서 1억1천만명의 고객 정보가 유출됐고, 2014년 주택용품 판매업체 '홈디포'도 해킹을 당했다.

특히 작년 11월에는 영화제작사 '소니 픽처스 엔터테인먼트'가 김정은 북한 국방위원회 제1위원장 살해를 소재로 한 코미디 영화 개봉을 앞두고 북한 소행으로 추정되는 사이버 공격을 당해 내부 자료가 대규모로 유출되는 피해를 봤다.