직원 12명 규모의 건축설계사무소에서 일하는 경리 직원이 담당 파트너에게서 온 것처럼 보이는 이메일을 받습니다: 오늘 새로운 공급업체 계좌로 $47,000를 송금해 달라는 내용으로, 급한 건이며 허가 수수료 마감이 임박했다는 것입니다. 그녀는 송금을 실행합니다. 20분 후 실제 파트너가 그녀의 자리를 지나가다가 왜 아직 허가 수수료가 지급되지 않았는지 묻습니다. 돈은 이미 사라진 뒤였습니다. 다른 주에 있는 계좌로 송금되었고, 한 시간 안에 암호화폐로 전환되었습니다. 그녀는 은행에 전화를 걸어, 개인 직불카드가 주유소에서 부정 사용되었을 때 받을 수 있는 것과 같은 종류의 보호를 기대합니다. 하지만 기업의 전신송금에는 그런 보호가 존재하지 않습니다 — 그리고 그 법적인 이유는 소규모 사업주 대부분이 한 번도 들어본 적 없는 것입니다.
소비자에게는 전자자금이체법(Electronic Fund Transfer Act)을 시행하는 연방 규정인 규정 E가 있습니다. 이는 승인되지 않은 이체에 대한 소비자의 책임 한도를 정하고, 은행이 분쟁 조사 기간 동안 이의 제기된 금액을 잠정적으로 입금하도록 요구합니다. 그러나 기업에는 이런 보호가 없습니다. 상업용 전신송금은 이와는 다른, 더 오래되었고 훨씬 덜 관대한 법률 체계 — 통일상법전(UCC) 제4A장 — 의 적용을 받습니다. 이 두 체계 사이의 간극을 이해하는 것, 그리고 실제로 책임을 은행 쪽으로 되돌리기 위해 무엇이 필요한지를 아는 것이야말로 사기성 전신송금을 되찾는 것과 손실을 그대로 떠안는 것의 차이를 만듭니다.
규정 E가 적용되지 않는 이유
규정 E의 보호 장치는 전적으로 한 단어, 즉 '소비자'를 중심으로 설계되어 있습니다. 이 규정은 소비자 자산 계좌 — 개인 당좌예금, 개인 저축예금, 그리고 주로 개인, 가족 또는 가계 목적으로 사용되는 이와 유사한 계좌 — 와 관련된 전자자금이체를 대상으로 합니다. 계좌가 기업 계좌이고 자금 이체가 전신송금인 순간, EFTA와 규정 E는 완전히 물러나고 그 대신 UCC 제4A장이 적용됩니다.
제4A장은 상업용 자금이체 시스템 — Fedwire, CHIPS, 그리고 기업 간에 하루에도 수조 달러를 이동시키는 환거래은행 네트워크 — 을 위해 특별히 작성되었습니다. 이는 오직 상업용 지급지시에만 적용되며, 의도적인 정책적 절충을 바탕으로 마련되었습니다. 전신송금은 막대한 금액을 거의 즉각적으로 이동시키고, 은행 시스템에서는 거래의 확정성(finality)이 대단히 중요하기 때문에, 이 법은 소비자법이 개인에게 지우는 것보다 더 많은 사기 방지 부담을 기업 고객에게 지웁니다. 지급 거절(chargeback) 권리는 없습니다. 분쟁 조사 중 잠정 입금이 의무화되어 있지도 않습니다. 기업이 승인되지 않은 이체에 대해 얼마까지 책임을 져야 하는지에 대한 법적 상한선도 없습니다.
누가 손실을 떠안을지를 결정하는 규정
제4A장의 핵심 책임 조항 — 흔히 UCC § 4A-202로 인용되는 — 은 서류상으로는 중립적으로 들리지만 실제로는 가혹합니다. 은행과 기업 고객이 사전에 전신송금 지시를 승인하기 위한 보안 절차에 합의했고, 그 절차가 '상업적으로 합리적'이며, 은행이 사기성 전신송금을 처리할 때 실제로 그 절차를 신의성실에 따라 준수했다면, 그 전신송금이 실제로는 회사 내 누구의 승인도 받지 않았다 하더라도 손실은 고객이 떠안게 됩니다.
빠져나갈 방법이 하나 있습니다. 고객이 사기가 자신의 사업과 전혀 관련이 없는 사람에 의해 저질러졌다는 것 — 즉, 유출된 직원 계정도, 내부자 개입도, 회사 자체 시스템이나 인력에서 비롯된 그 어떤 것도 없었다는 것 — 을 입증하면 책임을 면할 수 있습니다. 그러나 비즈니스 이메일 침해(BEC) 사기에서는 이를 입증하는 것이 대체로 불가능합니다. 왜냐하면 이런 사기는 회사 내부의 무언가(직원의 이메일 수신함, 공급업체와의 관계, 임원의 평소 소통 방식)를 유출하거나 위조하는 방식으로 작동하기 때문입니다. 이 법은 본질적으로, 은행이 제 역할을 다했고 침해가 고객의 영역 어딘가에서 발생했다면 그 손실은 고객이 부담한다고 가정합니다.
'상업적으로 합리적'이 실제로 의미하는 것
전신송금 사기 손실을 놓고 다투는 모든 사업주가 반드시 이해해야 하는 문구가 바로 이것입니다. 소송 전체가 결국 이 문구를 둘러싼 싸움이기 때문입니다. 법원은 은행의 보안 절차가 이용 가능한 최고의 기술이었는지를 묻지 않습니다 — 대신 그 절차가 해당 특정 고객의 거래 패턴, 은행이 실제로 제공한 보안 옵션, 그리고 비슷한 처지의 은행과 고객들이 사용하는 방식에 비추어 합리적이었는지를 묻습니다.
대표적인 판례인 Patco Construction Co. v. People's United Bank (제1순회항소법원, 2012)는 개요만이라도 알아둘 가치가 있습니다. 한 건설회사의 온라인뱅킹 계정 정보가 유출되었는데, 해당 은행 시스템은 거래를 이상 거래로 표시할 수 있는 도구를 갖추고 있었음에도 불구하고, 고객의 일반적인 거래 규모나 패턴과 무관하게 모든 고객에게 동일한 범용적이고 마찰이 적은 보안 절차를 적용했기 때문에 일련의 사기성 전신송금을 승인하고 말았습니다. 제1순회항소법원은 은행의 절차가 상업적으로 합리적이지 않았다고 판결했는데, 이는 특히 획일적인 접근 방식이 보안을 특정 고객의 상황에 비추어 평가해야 한다는 제4A장의 요건을 충족하지 못했기 때문입니다 — 단순히 '어떤 인증 수단이 사용되었는가'가 아니라 '이것이 이 고객이 평소 하는 거래에 적합한 수준의 마찰이었는가'가 기준이라는 것입니다.
이 실질적인 교훈은 양방향으로 작용합니다. 만약 은행이 이중 승인, 콜백 확인, 거래 한도 알림, 신규 수취인에 대한 별도 채널 확인 등 더 강력한 인증 수단을 제공했는데도 당신이 편의를 위해 이를 거절했다면, 이후 사기를 당해 은행의 절차가 미흡했다고 주장하려 할 때 그 결정은 당신의 입지를 약화시킵니다. 은행이 제공하는 모든 선택적 보안 계층을 받아들이는 기업은, 훗날 4A-202 분쟁에서 싸워야 할 경우를 대비해 필요한 기록을 미리 쌓아두고 있는 셈입니다.
대부분의 청구를 접수 전에 무력화하는 시한
정당하고 입증 가능한 사기 청구조차 기술적인 문제로 무산될 수 있습니다. 제4A장은 고객에게 통지일로부터 최대 1년의 기간 동안 전신송금에 이의를 제기할 수 있도록 하지만, 이는 당사자 간 합의로 단축할 수 있는 기본값에 불과하며 — 실제로 대부분의 은행 전신송금 약정은 이를 흔히 30일 또는 60일로 단축합니다. 이 기간을 놓치면 그 거래가 아무리 명백히 무권한 거래였다 하더라도 확정된 것으로 처리됩니다.
이는 법적인 문제인 만큼이나 부기 및 내부 프로세스의 문제이기도 합니다. 매주나 매일이 아니라 매월 은행 계좌를 대조하는 기업은, 누군가 명세서에서 사기성 전신송금을 알아차리기도 전에 30일짜리 계약상 통지 기한을 쉽게 넘겨버릴 수 있습니다. 대조 주기는 단순한 정확성 관리 차원의 활동이 아니라 사기 책임 통제 수단입니다 — 불일치가 더 빨리 드러날수록 이를 회수할 수 있는 법적 선택지도 더 많이 남습니다.
대부분의 BEC 손실 뒤에 숨어 있는 계좌번호 함정
제4A장의 한 조항은 비즈니스 이메일 침해(BEC) 사기가 왜 그토록 효과적이고 되돌리기 어려운지를 설명해 줍니다. 전신송금 지시서에 수취인 이름과 계좌번호가 모두 기재되어 있는데 수취 측에서 이 둘이 실제로 일치하지 않는 경우, 수취은행은 법적으로 계좌번호만을 근거로 삼을 권리가 있습니다 — 이름이 계좌와 일치하는지 확인할 의무가 없는 것입니다. 사기범들은 이 점을 끊임없이 악용합니다. 위조된 이메일에는 실제 공급업체의 이름은 그대로 두고 계좌번호만 사기범의 것으로 바꿔 넣습니다. 그러면 전신송금은 정상적으로 보이는 이름 아래 발송되지만 실제로는 공격자가 통제하는 계좌로 들어갑니다. 수취은행은 법적으로 아무런 잘못도 하지 않았기 때문에 이에 대한 구제 수단은 거의 없으며, 결국 싸움은 애초에 송금은행의 보안 절차가 상업적으로 합리적이었는가라는 문제로 되돌아갑니다.
FBI 산하 인터넷범죄신고센터(IC3)는 2025년 한 해에만 비즈니스 이메일 침해(BEC) 관련 신고 24,768건을 접수했으며, 신고된 손실액은 $30억 5천만 — 전년도의 $27억 7천만에서 증가한 수치 — 에 달했습니다. 이 사기성 지급의 86%는 전신송금 또는 ACH를 통해 이동했으며, 이는 그 자금이 상류 단계의 모든 은행 통제를 경보 없이 통과했다는 의미입니다. 바로 이런 법적 체계 때문에 자금이 이미 이동한 뒤에는 전신송금 사기 회수가 그토록 어려운 것이며, 이것이 이런 규모의 피해 건수가 존재하는 이유입니다.
이것이 전신송금 기록과 통제 방식에 의미하는 것
법이 프로세스에 이토록 큰 비중을 두기 때문에, 누가 전신송금을 개시할 수 있고 그것이 어떻게 검증되는지를 둘러싼 내부 통제는 단순한 운영상의 모범 사례에 그치지 않습니다 — 그것은 4A-202 분쟁에서 필요하게 될 증거입니다. 대부분의 사업주가 인식하는 것보다 훨씬 중요한 몇 가지 관행이 있습니다:
- 은행이 제공하는 모든 인증 계층을 사용하세요, 다소 번거롭더라도 말입니다. 속도를 위해 더 강력한 보안을 거절하는 것은, 이후 사기 청구를 가장 일관되게 약화시키는 단일한 사실 패턴입니다.
- 신규 수취인 등록이나 기존 수취인의 은행 정보 변경에는 반드시 이중 승인을 요구하세요, 그리고 이를 이메일이 아닌 다른 채널 — 의심스러운 메시지 자체에 적힌 번호가 아니라 이미 알고 있는 번호로의 전화 통화 — 을 통해 확인하세요.
- 전신송금을 정기적으로 보내는 기업이라면 최소 매주 은행 계좌를 대조하세요. 30일짜리 계약상 통지 기한은 월말 마감 시점의 문제가 아닙니다 — 사기가 주기 초반에 발생한다면 그것은 월 중반의 문제가 됩니다.
- 모든 전신송금 승인 결정에 대해 깨끗하고 날짜가 기록된 이력을 남기세요 — 누가, 어떤 채널을 통해, 어떤 검증을 근거로 승인했는지를 말입니다. 만약 분쟁이 '은행의 절차가 상업적으로 합리적이었는가, 그리고 당신이 스스로 합의한 절차를 지켰는가'로 귀결된다면, 명확한 기록을 갖춘 기업은 승산이 있지만 기록이 없는 기업은 그렇지 않습니다.
깨끗하고 잘 태그된 거래 기록은 좀 더 평범한 이유에서도 중요합니다. 전신송금이 정확히 언제, 어느 계좌에서 발송되었고, 어떤 청구서와 대조되었는지를 아는 것이야말로 경리 담당자가 이상 징후를 몇 주가 아니라 며칠 만에 발견할 수 있게 해주는 요소입니다. Beancount.io의 플레인 텍스트, 버전 관리 원장은 발신 전신송금을 포함한 모든 거래를 월별 은행 명세서 PDF 속에 묻혀 사라지는 한 줄이 아니라 날짜가 기록되고 감사 가능한 하나의 항목으로 만들어 줍니다. 이는 '사기가 발생한 시점'과 '우리가 이를 포착한 시점' 사이의 간격을 정확히 좁혀주는 종류의 가시성입니다. 무료로 시작하기를 통해, 계약상 통지 기한이 문제를 바로잡을 기회를 닫아버리기 전에 문제를 포착할 수 있을 만큼 정밀한 재무 기록을 유지하세요.