이메일 피싱 사기는 오래된 수법이지만, 최근에는 훨씬 더 교묘해지고 있습니다. 특히 이용자들이 안전하다고 믿는 공식 서비스 자체를 악용하는 사례가 늘고 있습니다. 최근 미국에서는 실제 PayPal 시스템에서 발송된 이메일을 이용한 신종 사기 수법이 확인됐으며, 독일 등 다른 국가로도 확산될 가능성이 제기되고 있습니다.

 

 

 

출처: 생성형 AI 제작 / 구글 제미나이

 

 

 

이용한 신종 사기 등장

 

사이버보안 업체 Malwarebytes의 발표에 따르면, 사기범들은 실제 PayPal 메일 시스템을 이용해 이용자들을 속이고 있습니다. 이메일 자체는 진짜 service@paypal.com 주소에서 발송되기 때문에 DKIM, SPF, DMARC 같은 이메일 보안 인증도 모두 통과합니다. 즉, 일반적인 피싱 메일처럼 발신자를 의심하기가 매우 어렵습니다. 사기범들은 PayPal에서 실제 거래 알림 메일이 발송되도록 유도한 뒤 제목을 조작하는 방식으로 이용자를 속입니다.

 

 

 

“987달러 결제 예정” 문구로 공포 조성

 

수법은 비교적 단순하지만 매우 교묘합니다. 범죄자들은 PayPal 송금 기능을 이용해 약 0.55센트 수준의 아주 작은 금액을 송금해 결제 알림 메일이 발송되도록 만듭니다. 문제는 이메일 제목입니다. 메일 제목에는 “계정 활성화를 위해 987.90달러가 청구될 예정입니다. 문의 사항은 (전화번호)로 연락하세요.”와 같은 문구가 표시됩니다. 하지만 실제 메일 본문에는 1엔 송금 내역만 표시됩니다. 이 차이가 이용자들에게 혼란과 불안감을 유발합니다.

 

 

 

전화하면 가짜 PayPal 직원 연결

 

이메일 제목에 적힌 번호로 전화를 걸면 실제 PayPal 고객센터가 아니라 사기 조직으로 연결됩니다. 이들은 자신을 PayPal 기술지원 직원처럼 소개하며 결제 수단을 확인하도록 요구하거나 은행 계좌 정보를 수집합니다. 특히 원격제어를 허용할 경우 컴퓨터 내부 파일과 금융정보까지 모두 노출될 위험이 있습니다.

 

 

 

왜 이렇게 믿기 어려울 정도로 정교한가

 

이번 사기가 위험한 이유는 이메일 자체가 위조가 아니라는 점입니다. 일반 피싱 메일은 주소가 이상하거나 철자가 틀린 경우가 많지만, 이번 사례는 실제 PayPal 시스템에서 발송됐기 때문에 대부분의 보안 검사도 정상 통과합니다. 또한 메일에는 실제 사용자 이름과 거래 ID까지 포함돼 있어 신뢰감을 더욱 높입니다. 현재까지 정확히 어떤 방식으로 제목이 조작됐는지는 확인되지 않았습니다. 전문가들은 PayPal 시스템 내부에서 메일 제목이 생성되는 과정에 악용 가능한 취약점이 있을 가능성을 제기하고 있습니다. 특히 송금 메모나 설명란이 특정 이메일 템플릿과 연결되면서 제목까지 영향을 준 것으로 추정되고 있습니다.

 

 

 

이런 메일 받으면 반드시 확인해야 할 점

 

전문가들은 몇 가지 기본 원칙만 지켜도 피해를 상당 부분 예방할 수 있다고 강조합니다.

 

• 이메일 제목 속 전화번호는 절대 믿지 마세요: 공식 고객센터 번호는 반드시 PayPal 공식 홈페이지나 앱에서 직접 확인해야 합니다.
• 메일 보고 바로 행동하지 마세요: 실제 이상 거래 여부는 이메일이 아니라 PayPal 계정에 직접 로그인해 확인해야 합니다.
• 원격제어는 절대 허용하지 마세요: 정상적인 금융회사나 결제 서비스는 이용자 PC 원격접속을 요구하지 않습니다.
• 압박 대응 요구는 사기 신호: “당장 조치하지 않으면 돈이 빠져나간다”는 식의 압박은 대표적인 피싱 수법입니다.

 

또한 평소에 승인하지 않은 결제나 의심스러운 거래가 있는지 계좌를 수시로 확인하는 것이 도움이 됩니다.

 

 

 

이미 속았다면 어떻게 해야 하나요?

 

전문가들은 피해 발생 시 즉시 다음 조치를 취하라고 권고합니다.

 

• 돈을 송금했다면? 은행 및 카드사에 신고, 연방거래위원회(FTC) 또는 관할 경찰에 신고할 수도 있습니다.
• 비밀번호를 공유했다면? 비밀번호 즉시 변경 및 2단계 인증(2FA) 설정
• 원격제어를 허용했다면? 악성코드 보안 검사 및 초기화 검토

 

 

 

의심 메일은 PayPal 피싱 신고 주소인 phishing@paypal.com으로 전달하는 것이 권장됩니다.