금요일 오후입니다. 사장은 사무실에 없습니다. 부기 담당자의 받은편지함에 "CEO"로부터 온 이메일이 도착합니다. 은행이 문을 닫기 전에 새로운 벤더 계좌로 긴급 송금을 요청하는 내용입니다. 어조는 정중하지만 다급합니다. 서명란도 맞아 보입니다. 송금이 나갑니다. 월요일이 되면 돈과 그 "벤더"는 모두 사라지고 없습니다.
이런 시나리오는 소기업에서 매일같이 벌어지며, 상상하는 것처럼 극적인 할리우드식 강탈극인 경우는 거의 없습니다. 소기업을 대상으로 한 사기 대부분은 조용하고, 인내심이 있으며, 일상적인 서류 업무로 위장되어 있습니다. 공인 부정행위 조사관 협회(ACFE)에 따르면, 조직은 연간 매출의 약 5%를 사기로 잃으며, 피해를 입은 기업의 거의 절반은 완전히 회복하지 못합니다. 박한 마진으로 운영되는 기업에게 이는 단순한 오차 범위가 아니라 존립을 좌우하는 문제입니다.
사기가 실제로 어떤 모습인지, 이런 수법이 계속 통하는 이유가 되는 수치들, 그리고 송금이 나가기 전에 이를 막을 기회를 주는 경고 신호들을 살펴보겠습니다.
소기업이 선호되는 표적인 이유
사기꾼은 가장 큰 표적을 쫓지 않습니다. 가장 만만한 표적을 쫓습니다. 소기업이 매력적인 먹잇감이 되는 데는 특정한 이유가 있습니다. 바로 인력을 최소한으로 운영한다는 점입니다. 별도의 매입채무 부서도, 전담 부정행위 분석가도, 모든 거래를 재확인하는 두 번째 눈길도 없는 경우가 많습니다. 한 사람이 우편물을 열고, 송장을 승인하고, 은행 계좌를 조정하는 일을 모두 처리하기도 합니다. 다섯 명 규모의 회사에서는 지극히 정상적인 이러한 업무 집중이야말로 사기 수법이 파고들도록 설계된 바로 그 틈새입니다.
이 문제의 규모는 지난 2년간 급격히 커졌습니다.
- FBI 인터넷 범죄 신고 센터(IC3)는 2025년 비즈니스 이메일 침해(BEC) 신고 24,768건을 접수했으며, 신고된 손실액은 총 30억 5천만 달러에 달했습니다 — 이는 2024년의 신고 21,442건, 손실액 27억 7천만 달러에서 신고 건수는 약 16%, 손실액은 10% 증가한 수치입니다.
- 재무전문가협회(AFP)는 2025년 미국 조직의 76%가 결제 사기 시도 또는 실제 피해를 경험했다고 밝혔으며, 그중 약 74%는 특히 BEC 시도의 표적이 되었다고 밝혔습니다. 벤더 사칭이 단일 공격 유형으로는 가장 흔했습니다.
- 2,400건이 넘는 실제 사례를 바탕으로 한 ACFE의 최신 글로벌 사기 연구에 따르면, 사건당 손실액 중간값은 104,000달러였고 평균은 140만 달러를 넘었습니다. 대기업의 85%와 달리 소기업 중 내부고발 신고 체계를 갖춘 곳은 25%에 불과했습니다. 이는 소기업이 가장 효과적인 탐지 수단 중 하나(직원 제보는 전체 사기 사건의 43%를 적발합니다)를 거의 처음부터 갖지 못한 채 시작한다는 의미입니다.
- 생성형 AI는 미끼 이메일을 알아보기 더 어렵게 만들고 있습니다. 일부 추정에 따르면 BEC 피싱 이메일의 약 40%가 이제 AI로 생성되며, 이는 예전에는 단서가 되었던 어색한 문법과 표현이 빠르게 사라지고 있다는 뜻입니다.
패턴은 일관됩니다. 사기는 드물지 않고, 줄어들고 있지도 않으며, 소기업은 구조적으로 대기업 경쟁사보다 더 많이 노출되어 있습니다.
가장 흔하게 발생하는 5가지 사기 유형
비즈니스 이메일 침해(BEC). 공격자는 임원, 벤더, 신뢰받는 파트너의 이메일 계정을 스푸핑하거나 조용히 탈취한 뒤, 송금이나 상품권, 급여 자동이체 정보 변경을 요청합니다. 이런 이메일은 의도적으로 긴 연휴 직전, 사장이 출장 중일 때, 벤더 결제가 몰리는 바쁜 시기 등에 맞춰 발송되어, 요청이 긴급해 보이고 다시 확인하기 어렵게 만듭니다.
송장 및 벤더 사칭. 사기꾼은 기존 공급업체인 척 "은행 정보가 변경되었다"는 통지를 보내거나, 주문한 적 없는 상품과 서비스에 대한 송장을 청구합니다. 앞서 언급한 AFP 설문조사에 따르면 이는 현재 가장 흔하게 신고되는 결제 사기 유형이며, 중복 등록된 항목, 아무도 정리하지 않은 휴면 공급업체, 전화로 확인하지 않은 은행 정보 변경처럼 지저분한 벤더 기록에서 번성합니다.
급여 유용. 직원이 보낸 것처럼 보이는 이메일이 HR이나 급여 담당자에게 자동이체 계좌를 "새" 은행 계좌로 변경해 달라고 요청합니다. 실제 직원은 급여를 받지 못하지만 한두 번의 급여 주기 동안 이를 알아차리지 못하고, 문제가 발견될 때쯤이면 돈은 이미 사라진 뒤입니다.
사업체 신원 도용. 누군가 귀사의 상호와 EIN을 이용해 부정한 서류를 제출합니다. 신용 한도를 개설하거나, "직원"을 대신해 실업급여를 신청하거나, 벤더와 고객 사이에서 귀사의 평판에 편승하는 유령 회사를 등록하기도 합니다.
수표 사기와 우편물 절도. 이 목록에서 가장 오래된 수법이며, 다시 유행하고 있습니다. 도난당하거나 가로챈 수표는 "세탁"됩니다. 수취인 이름과 금액을 화학적으로 지우고 다시 써넣는 방식입니다. 혹은 단순히 사진을 찍어 귀사 계좌를 이용한 위조 수표를 만드는 데 사용되기도 합니다. 수표는 여전히 우편함과 수거함을 거쳐 이동하기 때문에, 도난당한 봉투 하나만으로도 사기꾼에게 은행 코드(routing number), 계좌번호, 그리고 그대로 베낄 수 있는 실제 서명을 넘겨줄 수 있습니다.
팀에게 교육해야 할 경고 신호
사기 시도는 가까이서 보면 정교해 보이는 경우가 드뭅니다. 그저 평소 업무 커뮤니케이션에서 살짝 어긋난 버전처럼 보일 뿐입니다. 주의해야 할 신호들은 다음과 같습니다.
- 긴급함과 비밀 유지. "오늘 안에 처리되어야 합니다", "다른 사람에게는 알리지 말아 주세요", "지금 회의 중이라 전화를 받을 수 없습니다" — 정당한 긴급 요청도 존재하지만, 압박과 함께 평소 절차를 건너뛰라는 요청이 결합된 경우가 가장 큰 위험 신호입니다.
- 연락 경로의 변경. 항상 회사 이메일 주소로만 연락하던 사람이 갑자기 개인 Gmail 계정으로 이메일을 보내거나, 늘 우편으로 송장을 보내던 벤더가 갑자기 이메일로 결제 정보를 확인해 달라고 요청하는 경우입니다.
- 오래된 거래처의 새로운 은행 정보. 돈이 보내지는 곳을 변경해 달라는 요청 — 벤더 결제 정보, 급여 자동이체, 송금 지시 등 — 이 있다면 반드시 이미 보유하고 있는 전화번호로 확인 전화를 해야 하며, 요청 자체에 포함된 번호로는 절대 확인해서는 안 됩니다.
- 기억에 없는 작업에 대한 송장, 또는 이름이 거의 비슷하지만 미묘하게 다른 벤더로부터 온 송장(단어 순서가 바뀌었거나, "LLC"가 추가되었거나, 이메일 주소의 도메인이 약간 다른 경우)입니다.
- 계정 조정에서 설명되지 않는 금액 차이, 동일한 벤더에게 반복적으로 이루어지는 딱 떨어지거나 의심스러울 만큼 비슷한 금액의 결제, 또는 절대 휴가를 가지 않고 다른 누구도 자신의 계좌를 건드리지 못하게 하는 직원(자리를 비운 사이 발각될 위험을 감수하기보다 진행 중인 부정을 숨기려는 사람에게서 흔히 나타나는 신호입니다)입니다.
이러한 신호들은 그 자체만으로는 사기의 증거가 되지 않습니다. 하지만 여러 신호가 함께 나타나거나 결제 요청과 결합되면, 돈이 움직이기 전에 멈추고 확인할 충분한 이유가 됩니다.
소규모 팀에 맞는 방어 체계 구축하기
이런 허점 대부분을 메우는 데 내부 감사 부서까지는 필요하지 않습니다. 몇 가지 습관만으로도 대부분의 일을 해결할 수 있습니다.
- 이미 보유한 전화번호로 확인하기. 이는 BEC와 벤더 사칭에 대응하는 가장 효과적인 단일 통제 수단입니다. 은행 정보 변경을 같은 이메일에 답장하거나 메시지에 포함된 번호로 전화해서 확인해서는 절대 안 됩니다. 벤더나 임원의 알려진 번호를 별도로 조회해서 확인하세요.
- 결제를 요청하는 사람과 승인하는 사람을 분리하기. 재무 담당이 두세 명뿐인 경우에도, 한 사람이 결제를 시작하고 다른 사람(사장이라도)이 발송 전에 검토하고 승인하도록 하면 사기가 노리는 가장 흔한 단일 실패 지점을 차단할 수 있습니다.
- 벤더 파일을 정기적으로 정리하기. 중복된 벤더 기록과 12~18개월간 송장을 보내지 않은 공급업체는 부정한 항목이 버젓이 숨어 있기 딱 좋은 곳입니다. 분기마다 계정과목표와 벤더 목록을 한 번씩 훑어보는 것만으로도 저렴하게 이를 적발할 수 있습니다.
- 정해진 일정에 따라 조정하기 — 매주 또는 매달, 거르지 않고. 6개월 이내에 발각된 사기의 손실액 중간값은 4만 달러인 반면, 5년 넘게 발각되지 않은 사기의 손실액 중간값은 110만 달러를 넘습니다. 조정 주기가 이 두 수치의 차이를 만듭니다.
- 제공되는 모든 곳에서 다단계 인증(MFA)을 활성화하세요. 뱅킹 포털, 회계 소프트웨어, 이메일 등 어디든 마찬가지이며, 편의를 위해 절대 비활성화하지 마세요.
- 한 번이 아니라 지속적으로 교육하기. 입사 첫날 보여주는 사기 관련 슬라이드 한 장으로는 기억에 남지 않습니다. 실제 최신 사기 이메일 사례를 포함한 짧은 분기별 재교육이 패턴 인식 능력을 날카롭게 유지해 줍니다.
- 가능하다면 종이 수표에서 벗어나기. ACH 이체와 카드 결제는 우편함에서 세탁될 수 없습니다. 수표를 피할 수 없다면, 보안이 없는 우편 투입구 대신 잠긴 수거함이나 직접 전달을 이용하고, 원래 발행한 금액 및 수취인과 일치하지 않는 수표를 잡아내는 은행의 포지티브 페이(positive pay) 서비스를 고려하세요.
- 확인 규칙을 문서로 명문화하기. "알려진 번호로 확인 전화를 하지 않고는 어떤 결제나 은행 정보 변경도 처리하지 않는다"는 한 페이지짜리 정책은 좋은 습관을 신입 직원을 포함한 팀 전체가 첫날부터 지켜야 할 기대치로 바꿔놓습니다.
이미 피해를 입었다고 생각된다면
사기 피해 복구에서는 거의 모든 것보다 속도가 중요합니다. 이미 부정한 송금이 나간 경우:
- 즉시 은행에 연락하여 회수(recall)나 보류를 요청하세요. 은행은 첫 24시간 이내라면 송금을 가로챌 수 있는 경우가 있지만, 그 이후에는 거의 불가능합니다.
- FBI의 IC3(ic3.gov)와 FTC(reportfraud.ftc.gov)에 신고하고, 경찰에도 신고서를 제출하세요. 이런 신고 기록은 보험 청구에 중요하며, 법 집행기관이 귀하의 사건을 더 큰 패턴과 연결하는 데 도움이 될 수 있습니다.
- 모든 것을 기록하세요. 원본 이메일, 헤더, 타임스탬프, 그리고 관련된 모든 커뮤니케이션을 남겨두세요.
- 영향을 받은 다른 사람들에게도 알리세요. 급여가 유용된 직원이나, 사칭당한 실제 벤더에게도 미리 알려주어야 합니다.
- 실패한 통제를 검토하고 강화하세요. 같은 허점이 계속 열려 있지 않도록 해야 합니다.
재무를 체계적이고 감사 가능하게 유지하세요
사기를 가장 빠르게 적발하는 기업은 장부가 깔끔하고, 최신 상태이며, 어울리지 않는 항목을 훑어보기 쉬운 기업입니다. Beancount.io는 재무 데이터에 대한 완전한 투명성과 전체 감사 추적을 제공하는 일반 텍스트 회계를 제공합니다. 블랙박스도, 벤더 종속도 없으며, 모든 거래는 버전 관리되어 검토할 수 있습니다. 무료로 시작하기를 통해 개발자와 재무 전문가들이 왜 일반 텍스트 회계로 전환하고 있는지 확인해 보세요.