거래처에서 결제 계좌가 바뀌었다는 메일을 받았다면 송금 전에 메일이 아닌 다른 경로로 거래처 담당자에게 직접 확인해야 합니다. 이것이 가장 확실한 판별 방법입니다. 이와 함께 발신 주소, 메일 헤더의 인증 결과, 요청 내용의 이상 징후를 점검하면 이메일 무역사기를 상당 부분 걸러낼 수 있습니다. 이미 송금했다면 즉시 송금 은행에 반환 절차를 요청하고 수사기관에 신고해야 합니다.
거래처 계좌 변경 메일은 왜 위험합니까?
이메일 무역사기는 흔히 BEC(Business Email Compromise)라고 부릅니다. 공격자는 거래처나 자사 직원의 메일 계정을 탈취하거나 정상 도메인과 비슷한 도메인을 만듭니다. 그런 다음 기존 거래 대화에 끼어들어 결제 직전에 대금을 받을 계좌를 바꿔 달라고 요청합니다. 공격자는 이전에 오간 메일 내용과 서명, 견적서 양식을 그대로 가져다 쓰기 때문에 담당자는 평소 업무 메일과 차이를 느끼기 어렵습니다.
대한무역투자진흥공사(KOTRA)는 해커가 국내기업의 이메일 계정을 해킹해 인보이스의 계좌정보를 위조한 사례를 소개했습니다. 수출입 기업뿐 아니라 해외 공급업체에 대금을 보내는 중소기업과 개인사업자도 같은 위험에 노출되어 있습니다.
이 수법은 악성 첨부파일이나 링크 없이 문장만으로 이루어지는 경우가 많습니다. 그래서 스팸 필터나 백신 같은 기술적 보안 장비만으로는 걸러내기 어렵습니다. 결국 송금 직전 담당자의 확인 절차가 마지막 방어선이 되며, 이 절차를 개인의 감각에 맡기지 않고 회사 규정으로 정해 두는 것이 중요합니다.
송금 전에 어떤 신호를 확인해야 합니까?
발신 주소와 회신 주소
- 표시 이름은 거래처 담당자와 같아도 실제 메일 주소는 다른 경우가 있으므로, 표시 이름이 아니라 전체 주소를 확인합니다.
- 도메인에서 숫자 0과 영문 o, rn과 m처럼 비슷하게 보이는 글자가 바뀌었는지, 하이픈이나 국가 도메인이 추가되었는지 살핍니다.
- 답장 버튼을 눌렀을 때 수신자 칸에 나타나는 회신 주소가 발신 주소와 같은지 확인합니다.
요청 내용의 이상 징후
- "오늘 안에 처리해야 한다", "기존 계좌는 동결되었다"처럼 서두르게 만드는 표현이 들어 있습니다.
- 감사, 세무 조사, 은행 변경 같은 사유를 들며 계좌 변경이 불가피하다고 설명합니다.
- 새 계좌의 예금주가 거래처 법인명과 다르거나, 거래처 소재국이 아닌 제3국 은행 계좌입니다.
- 전화 통화를 요청하면 회의 중이라거나 출장 중이라며 메일로만 소통하려 합니다.
메일 헤더의 인증 결과
메일 원본(헤더)을 열면 SPF, DKIM, DMARC 검증 결과를 확인할 수 있습니다. DMARC는 국제 인터넷 표준화 기구(IETF)가 RFC 7489로 공개한 이메일 인증 규격입니다. 도메인 소유자는 이를 통해 SPF·DKIM 검증에 실패한 메일을 어떻게 처리할지 정책으로 정할 수 있습니다. 헤더에 fail이나 softfail이 표시되면 사칭을 강하게 의심해야 합니다. 다만 거래처 계정 자체가 탈취된 경우에는 정상 서버에서 발송되므로 인증을 모두 통과합니다. 따라서 인증 결과가 정상이라고 해서 안전하다고 단정할 수는 없습니다.
| 점검 항목 | 확인 방법 | 위험 판단 기준 |
|---|---|---|
| 발신 도메인 | 과거 거래 메일의 주소와 한 글자씩 대조 | 철자, 하이픈, 국가 도메인이 하나라도 다르면 사칭으로 간주 |
| 회신 주소 | 답장 화면의 수신자 칸 확인 | 발신 주소와 다르면 즉시 송금 보류 |
| 헤더 인증 결과 | 메일 원본에서 SPF·DKIM·DMARC 결과 확인 | fail 표시 시 사칭 의심, pass라도 계정 탈취 가능성은 남음 |
| 수취인 명의 | 계약서상 법인명과 새 계좌 예금주 비교 | 개인 명의이거나 다른 법인 명의면 송금 불가 |
| 요청 시점과 어조 | 결제 일정과 변경 요청 시점 비교 | 송금 직전 갑작스러운 변경, 긴급성 강조 시 고위험 |
거래처에 직접 확인할 때 어떤 절차를 따라야 합니까?
- 메일 본문이나 서명에 적힌 전화번호는 쓰지 않습니다. 계약서, 명함, 과거 통화 기록처럼 이전부터 보관해 온 연락처를 사용합니다.
- 기존 담당자에게 계좌 변경 여부, 변경 사유, 새 계좌의 은행명과 예금주를 말로 확인합니다. 메일에 적힌 계좌번호를 불러 주고 맞는지 묻기보다 상대에게 계좌번호를 직접 말해 달라고 요청하는 편이 안전합니다.
- 확인한 날짜, 통화 상대, 확인 내용을 내부 기록으로 남깁니다.
- 계좌 변경이 포함된 송금 건은 담당자 한 명이 처리하지 않습니다. 결재권자를 포함해 두 명 이상이 승인하도록 합니다.
- 확인이 끝나기 전에는 상대가 아무리 재촉해도 송금을 보류합니다. 거래처에도 회사 규정상 확인 절차가 필요하다고 분명히 알립니다.
이 절차를 계약서나 거래 조건에 미리 적어 두면 효과가 큽니다. 예를 들어 "계좌 변경은 서면 공문과 전화 확인을 모두 거친 경우에만 유효하다"는 조항을 두는 방식입니다. 이렇게 하면 공격자의 요청을 정중하게 거절할 근거가 생기고, 거래처 쪽 담당자도 같은 기준으로 대응하게 됩니다.
이미 송금했다면 무엇부터 해야 합니까?
- 송금한 은행에 즉시 연락해 사기 피해 사실을 알립니다. 수취 은행을 상대로 한 반환 요청과 지급 정지 협조를 요청합니다. 해외 송금은 시간이 지날수록 돈이 빠져나갈 가능성이 커지므로 확인 즉시 연락하는 것이 가장 중요합니다.
- 관련 메일을 삭제하지 않고 헤더를 포함한 원본 상태로 보존합니다. 송금 증빙, 계약서, 통화 기록도 함께 정리합니다.
- 수사기관에 피해를 신고합니다.
- 자사 메일 계정의 침해 여부를 점검하고 거래처에도 피해 사실을 알려 양측이 함께 경위를 확인합니다.
경찰청 사이버범죄 신고시스템(ECRM)에서 민원서류를 온라인으로 작성한 뒤, 가까운 경찰서를 방문해 수사관에게 임시 접수번호를 알리면 신고가 접수됩니다. 신고할 때는 사기 메일 원본, 송금 내역, 거래처와 주고받은 대화 기록을 함께 제출하면 사건 경위를 설명하기 쉽습니다.
메일 계정이 해킹되었다고 의심된다면 한국인터넷진흥원(KISA)이 운영하는 118 상담센터에 문의할 수 있습니다. 118 상담센터는 해킹·바이러스 긴급상담을 365일 24시간 제공합니다. 이와 별도로 모든 메일 계정의 비밀번호를 바꾸고, 메일 자동 전달 규칙과 외부 로그인 기록을 점검해 공격자가 여전히 메일을 엿보고 있는지 확인해야 합니다.
재발을 막으려면 회사는 무엇을 준비해야 합니까?
- 다중인증 적용: 재무·구매·영업 담당자 계정부터 다중인증을 의무화해 비밀번호가 유출되어도 계정을 탈취당하지 않도록 합니다.
- 자동 전달 규칙 감사: 공격자는 계정을 탈취한 뒤 특정 키워드가 담긴 메일을 외부로 몰래 전달하는 규칙을 만들어 두는 경우가 많으므로 정기적으로 점검합니다.
- 자사 도메인 인증 설정: SPF, DKIM, DMARC 레코드를 설정해 자사 도메인을 사칭한 메일이 거래처에 도달하기 어렵게 만듭니다.
- 유사 도메인 확인: 자사 도메인과 철자가 비슷한 도메인이 새로 등록되었는지 주기적으로 확인합니다.
- 실무자 교육: 실제 사례를 바탕으로 계좌 변경 요청을 받았을 때 따라야 할 절차를 정기적으로 교육하고 신규 입사자에게도 반드시 안내합니다.
이메일 무역사기에 대비하는 보안 대책은 기술과 절차가 함께 작동해야 효과가 있습니다. 메일 인증과 다중인증은 공격자가 들어올 문을 좁히고, 별도 경로를 통한 확인과 복수 승인은 문이 뚫렸을 때 실제 피해를 막아 줍니다.
자주 묻는 질문
거래처 메일 주소가 정확히 일치하면 안전하다고 볼 수 있습니까?
그렇지 않습니다. 거래처 계정이 탈취된 경우에는 진짜 주소에서 메일이 발송되고 인증 검사도 모두 통과합니다. 따라서 주소가 일치하더라도 계좌 변경 요청은 반드시 별도 경로로 확인해야 합니다.
이메일 무역사기 피해금은 돌려받을 수 있습니까?
반환이 보장되지는 않으며, 결과는 피해를 알아차린 뒤 얼마나 빨리 대응하느냐에 크게 좌우됩니다. 수취 계좌에서 돈이 빠져나가기 전에 송금 은행을 통해 반환을 요청하면 회수 가능성이 높아집니다. 해외 수취 은행의 협조가 필요하므로 처리에 시간이 걸릴 수 있습니다.
소규모 회사도 DMARC 설정이 필요합니까?
필요합니다. 공격자는 회사 규모와 관계없이 사칭하기 쉬운 도메인을 노리기 때문입니다. 처음에는 모니터링 정책으로 시작해 인증 결과 보고서를 검토하고, 정상 메일이 차단되지 않는 것을 확인한 뒤 격리나 거부 정책으로 단계적으로 강화하는 방식이 안전합니다.