2026년에 범죄자들이 가장 많이 노리는 결제 수단이 무엇일지 추측해보신다면, 1600년대부터 존재해온 종이 쪽지를 고르시겠습니까, 아니면 실시간 디지털 송금을 고르시겠습니까? AFP(Association for Financial Professionals)의 최신 결제 사기 및 통제 설문조사에 따르면 정답은 종이 수표입니다. 2025년에 58%의 조직이 수표 관련 사기를 보고했습니다. 이는 ACH 출금(30%)과 송금(25%)을 합친 것보다도 더 많은 수치입니다.
전체적으로, 지난해 미국 조직의 76%가 결제 사기 시도 또는 실제 피해를 경험했습니다. 이는 소수의 불운한 회사에만 영향을 미치는 틈새 문제가 아니라, 자금을 이동하는 모든 사람에게 기본적인 운영 환경입니다. 그리고 피해를 흡수할 준비가 가장 덜 된 기업들이 정확히 가장 큰 피해를 입을 가능성이 높은 기업들입니다: 재무 부서나 사기 분석가, 혹은 바로 전화할 수 있는 은행 관계 관리자가 없는 중소기업들 말이죠.
중소기업을 운영하면서 여전히 수표를 발행하거나 수취한다면 — 대부분의 기업이 그렇습니다 — 이 글은 10분 정도 투자할 가치가 있습니다.
왜 하필 수표가 여전히 최고의 사기 대상인가?
거꾸로 된 것처럼 보입니다. 송금은 즉시 되돌릴 수 없게 자금을 이동시키므로 더 매력적인 표적이 되어야 마땅합니다. 하지만 수표는 새로운 결제 수단에는 없는 구조적 약점이 있습니다: 사기범에게 필요한 모든 정보 — 은행 라우팅 번호, 계좌 번호, 서명, 사업체 이름 — 가 우편을 통해 이동하거나 잠기지 않은 서랍에 보관되거나 휴대폰으로 촬영되는 종이에 일반 텍스트로 인쇄되어 있습니다.
"수표 세탁(check washing)" — 도난당한 수표의 잉크를 화학적으로 제거하고 수취인과 금액을 다시 쓰는 행위 — 는 미국 우편 검사국(USPIS)이 전용 공익 캠페인을 운영할 정도로 흔해졌습니다. 여기에 노출된 문서에서 계좌 및 라우팅 번호를 이용해 가짜 수표를 인쇄하는 노골적인 위조와 금액을 500달러에서 5,000달러로 올리는 변조까지 더하면, 실행 비용이 저렴하고 단일 실패 지점으로 추적하기 어려운 사기 경로가 완성됩니다.
모든 중소기업 주인이 주목해야 할 부분은 다음과 같습니다: 이 모든 것을 알면서도, AFP 조사에서 수표를 사용하는 조직의 72%는 계속 수표를 사용할 계획이라고 밝혔고, 68%는 그 이유로 공급업체 요구 사항을 꼽았습니다. 다시 말해, 기업들이 수표가 안전하다고 생각해서 수표를 선택하는 것이 아닙니다 — 공급업체, 임대인, 또는 계약자가 그렇게 지급받기를 고집하기 때문에 수표에 얽매여 있는 것입니다.
중소기업의 취약성 격차
AFP 설문조사는 포춘 500대 기업의 재무 부서를 운영하지 않는 경우 매우 중요한 차이를 강조합니다. 손실률은 회사 규모에 따라 크게 다릅니다: 연간 수익 10억 달러 미만 기업의 48%가 사기로 인한 실제 재정적 손실을 보고한 반면, 대규모 조직의 경우 66%가 보고했습니다.
언뜻 보면 중소기업에 좋은 소식처럼 들립니다 — 손실을 보는 기업이 더 적으니까요. 하지만 반대로 읽어보면: 대규모 조직은 여러 계층의 통제 장치(이중 승인, 전담 사기 대응팀, 정확히 이런 시나리오에 맞춰진 보험 정책)를 갖추어 자금이 나가기 전에 사기 시도를 잡아내거나, 은행 관계와 법적 자원을 통해 사후에 자금을 회수합니다. 5인 기업은 이런 자원이 없습니다. 중소기업에서 사기가 실제로 발생하면, 보통 안전망이 없습니다. 손실이 기업 보험 프로그램으로 흡수되지 않고, 주인의 현금 흐름에서 직접 빠져나갑니다.
이 설문조사에 묻힌 진짜 헤드라인은 이것입니다: 중소기업이 덜 취약해서 공격을 덜 받는 것이 아닙니다. 훔칠 수표 금액이 더 작은 더 작은 표적이기 때문에 공격을 덜 받는 경우가 많습니다. 하지만 공격이 성공하면, 중소기업은 이를 흡수할 여유가 훨씬 적습니다.
비즈니스 이메일 침해도 빠르게 증가하고 있습니다
수표만이 전부는 아닙니다. 비즈니스 이메일 침해(BEC) — 사기범이 이메일로 공급업체, 임원, 또는 고객을 사칭하여 송금을 요청하거나 결제 은행 정보 변경을 요청하는 행위 — 는 2025년 조사 대상 조직의 74%에 영향을 미쳐 이전 연도보다 크게 증가했습니다.
전형적인 버전: 마치 CFO 주소에서 온 것처럼 보이는 이메일("빠른 부탁, 오늘 이 새 공급업체 계좌로 8,000달러를 송금해야 함, 회의 중임"). 지금 나타나고 있는 더 정교한 버전: 실제 공급업체의 이메일 스레드를 실제로 침해하거나 스푸핑한 사기범이 "업데이트된" 은행 세부 정보가 포함된 청구서를 보내 합법적인 결제를 자신의 계좌로 직접 보내도록 하는 것입니다. 인증 절차 없이 모든 이메일 청구서를 신뢰할 수 있는 것으로 처리하는 부기 프로세스를 가지고 있다면, 회사 규모에 관계없이 이 위험에 노출됩니다.
AFP 설문조사는 올해 처음으로 더 새로운 내용도 지적했습니다: 긴급 송금을 요청하는 전화나 화상 통화에서 임원을 사칭하는 데 사용되는 AI 생성 딥페이크 오디오 및 비디오입니다. 아직 광범위한 위협이라기보다는 떠오르는 위협이지만, 이것이 사기가 향하는 방향입니다 — 그리고 "CEO의 목소리를 들었으니 진짜임에 틀림없다"는 더 이상 안전한 가정이 아님을 의미합니다.
AI 도입 격차 — 경고일 뿐만 아니라 기회입니다
현재 조사 대상 조직의 17%만이 사기 완화에 AI 도구를 사용하고 있으며, 사용하는 조직은 의미 있는 이점을 보고합니다: 49%는 사기 보고 효율성 향상, 45%는 더 나은 딥페이크 탐지, 43%는 더 빠른 실시간 사기 식별을 경험했습니다.
중소기업의 경우 "사기 탐지에 AI 사용"이 맞춤형 구축을 의미할 필요는 없습니다. 대부분의 현대 비즈니스 뱅킹 플랫폼과 재무 도구는 이제 기본 변칙 탐지(평소 패턴과 비교해 비정상적으로 큰 금액, 새로운 수취인, 또는 이상한 시점의 결제 플래그 지정)를 표준 서비스에 포함하고 있습니다. AFP 설문조사가 설명하는 격차는 실제로 AI 격차가 아니라 도입 격차입니다. 도구는 존재하며 이미 은행의 비즈니스 계좌에 포함되어 있는 경우가 많습니다. 대부분의 기업이 그냥 켜지 않았을 뿐입니다.
중소기업을 위한 실용적인 사기 방지 체크리스트
재무 부서 없이도 사기 위험을 의미 있게 줄일 수 있습니다. 비용 대비 효과 순으로 실제로 효과가 있는 방법은 다음과 같습니다:
1. 포지티브 페이(Positive Pay) 활성화
포지티브 페이는 대부분의 비즈니스 은행에서 제공하는 서비스로(소액 월 사용료가 있거나 비즈니스 계좌에 무료로 포함됨), 제시된 모든 수표를 실제 발행한 수표 목록과 비교합니다. 수표 번호, 금액, 또는 수취인이 은행에 알린 내용과 일치하지 않으면, 결제되기 전에(사후가 아닌) 플래그가 지정됩니다. 수표가 가장 많이 표적이 되는 결제 수단이라는 점을 감안할 때, 이 목록에서 가장 효과가 높은 통제 수단입니다 — 그리고 지금 온라인 뱅킹 포털에서 사용하지 않은 채로 방치되어 있을 가능성이 높습니다.
2. ACH 출금 차단 또는 필터 추가
공급업체로부터 자동 ACH 출금을 승인하지 않는 경우, 은행 수준에서 완전히 차단하거나 사전 승인된 회사 및 금액 목록의 출금만 허용하는 필터를 설정할 수 있습니다. 이렇게 하면 단일 설정 변경으로 두 번째로 많이 표적이 되는 결제 수단을 차단할 수 있습니다.
3. 은행 세부 정보 변경 시 콜백(Callback) 필수화
이 방법은 무료이며 구현하는 데 5분밖에 걸리지 않습니다: 공급업체, 계약자, 또는 "임원"이 새 은행 계좌로 결제를 보내달라고 이메일을 보내면, 이메일에 제공된 번호가 아니라 이미 보유한 번호로 전화를 걸어 확인한 후에야 자금을 보내십시오. 이 한 가지 습관만으로도 대부분의 BEC 공격을 무력화할 수 있습니다. 사기범의 전체 계획은 이메일을 액면 그대로 신뢰하는 데 달려 있기 때문입니다.
4. 결제 승인자와 송금자를 분리
2~3인 기업에서도 한 사람이 결제를 입력하고 다른 사람이 승인한 후에야 나가도록 하면 외부 사기와 내부 오류 모두에 대한 자연스러운 확인 장치가 됩니다. 진정한 1인 운영자라면 대안은 새롭거나 비정상적으로 큰 결제에 대해 24시간 의무 지연을 설정하여 재확인할 수 있는 숙고 기간을 두는 것입니다.
5. 월별이 아닌 주별로 조정
며칠 내에 발견된 사기는 종종 회수 가능하지만, 한 달 후에 발견된 사기는 보통 회수할 수 없습니다. 부기가 월별 주기로 이루어지면 사기성 수표나 ACH 출금이 사라지기까지 최대 4주 동안 정리되고, 사용되며, 회수 불가능해진 후에야 알아차리게 됩니다. 이것이 바로 깨끗하고 최신의 장부가 "있으면 좋은 것"에서 실제 사기 탐지 시스템으로 바뀌는 지점입니다 — 아직 수행하지 않은 조정에서는 승인되지 않은 거래를 발견할 수 없습니다.
부기 습관이 최전방 방어선인 이유
위 목록의 모든 통제 수단(포지티브 페이, ACH 필터, 콜백 확인, 이중 승인)은 하나의 기본 습관에 의존합니다: 언제든지 계좌에 무엇이 있어야 하는지 정확히 알고 있어야 예상치 못한 것이 즉시 눈에 띈다는 것입니다. 매일 또는 매주 명확하고 항목별로 정리된 원장에 대해 조정하는 기업은 사기성 4,000달러 수표를 며칠 내에 발견할 것입니다. 한 달에 한 번, 아무도 3주 동안 열지 않은 스프레드시트에 대해 조정하는 기업은 자금이 이미 오래전에 사라진 후에야 발견할 수 있습니다.
이것은 장부를 각 항목을 감사할 수 있는 형식으로 유지하는 것이, 현금 상황을 요약하지만 기본 거래 내역을 보여주지 않는 블랙박스 앱보다 더 나은 이유에 대한 조용한 논거 중 하나입니다. Beancount.io는 일반 텍스트, 버전 관리 회계를 제공합니다 — 모든 거래는 읽을 수 있고 타임스탬프가 찍힌 항목으로, 사용자(또는 부기 담당자)가 독점 인터페이스를 뒤질 필요 없이 검토, 비교, 은행 피드와 조정할 수 있습니다. 이상한 점이 발견되면 정확히 무엇이 언제 변경되었는지 확인할 수 있습니다. 무료로 시작하기 장부가 실제로 읽을 수 있도록 구축되었을 때 사기가 얼마나 더 쉽게 눈에 띄는지 확인해보세요.