가장 신뢰하는 공급업체로부터 이메일 한 통을 받았다고 가정해 봅시다. 은행 정보를 변경했으니 다음 42,000달러 인보이스 대금을 새 계좌로 송금해 달라는 내용입니다. 로고는 정확하고, 대화 흐름은 익숙하며, 어조도 그들 스타일이고, 요청은 긴급합니다. 공급업체 마스터를 업데이트하고, 전신송금을 승인하고, 보내기 버튼을 누릅니다. 며칠 후 실제 공급업체가 전화를 걸어 대금이 어디 있느냐고 묻습니다. 송금한 계좌는 수주 동안 조용히 공급업체의 이메일을 전달하며 지켜보던 범죄자가 통제하는 계좌였습니다.
이 시나리오가 바로 비즈니스 이메일 침해(BEC)이며, FBI는 최근 1년간 이로 인한 노출 손실만 30억 달러 이상으로 집계했습니다 — 연방준비제도(Fed)의 집계에 따르면 지난 10년간 누적 총액은 현재 550억 달러를 초과합니다. BEC는 전통적인 의미의 기술적 해킹이 아닙니다. 이는 자금을 이동시킬 수 있는 사람이 이메일을 신뢰하는 바로 그 순간, 중소기업이 가장 취약한 순간을 악용하는 결제 사기입니다.
중소기업이 불균형적으로 피해를 입는 이유는 범죄자가 그들을 선호해서가 아니라, BEC를 막는 통제 — 콜백 검증, 이중 승인, 공급업체 마스터 관리 — 가 바로 소규모 팀이 가장 자주 건너뛰는 통제이기 때문입니다.
BEC가 실제로 작동하는 방식
FBI의 인터넷 범죄 신고 센터(IC3)는 BEC를 이메일 계정 침해(EAC)와 함께 하나의 범주로 추적합니다. 그 메커니즘은 일관적입니다:
- 침해 또는 사칭. 공격자는 피싱, 자격 증명 스터핑, 또는 사서함 전달 규칙을 통해 합법적인 이메일 계정에 접근하거나, 한 글자만 다른 유사 도메인을 등록합니다. 일단 침입하면 대화 내역을 읽고 결제 주기, 승인 문구, 누가 전신송금을 승인하는지 파악합니다.
- 결제 조작. 공격자는 실제 거래(공급업체 인보이스, 급여 파일, 부동산 거래)에 개입하여 자신의 결제 지시를 대신 넣습니다. 이메일은 신뢰하는 주소 또는 거의 동일한 주소에서 오며, 종종 긴급함을 강조합니다: "결산 중이니 오늘 새 계좌를 사용해 주십시오."
- 전신 또는 ACH 자금 전환. 자금은 공격자가 통제하는 계좌로 전신 또는 ACH를 통해 이동하며, 종종 공급업체가 평소 사용하는 은행과 다른 은행입니다. 공급업체가 대사할 때쯤이면 돈은 이미 여러 계좌를 거쳐 분산된 상태입니다.
FBI는 중소기업이 자주 겪는 다섯 가지 일반적인 변형을 강조합니다:
- 공급업체 이메일 침해: 공급업체의 계정이 탈취되어 "공급업체"가 업데이트된 송금 지시를 보냅니다.
- CEO 사칭: 대표 또는 임원이 기밀 거래를 위해 자금을 송금하도록 지시하는 것처럼 보입니다. 재무팀은 임원에게 이의를 제기하지 않고 따릅니다.
- 급여 유용: HR 부서는 직원이 직접 입금 정보를 업데이트하라는 요청처럼 보이는 이메일을 받습니다. 다음 급여는 공격자에게 지급됩니다.
- 부동산 전신사기: 거래 마감 담당자 또는 구매자가 부동산 매입을 위한 변경된 송금 지시를 받습니다 — 종종 중소기업이 보내는 가장 큰 단일 송금입니다.
- 데이터 유출 및 BEC 결합: 공격자가 먼저 직원 W-2 또는 공급업체 결제 데이터를 탈취한 후 이를 후속 사기에 사용합니다.
사우스캐롤라이나주의 한 지방자치단체는 최근 사칭된 공급업체에 대한 단 한 건의 송금으로 545,000달러의 손실을 입었습니다. 이는 공식적인 조달 절차를 갖춘 공공 기관도 검증이 선택 사항으로 취급될 때 면역이 아님을 보여줍니다.
왜 중소기업이 건당 가장 큰 손실을 입는가
BEC 손실은 균등하게 분포되지 않습니다. FBI와 미 공군 연구소(Air Force Research Laboratory)는 모두 IT 자원이 제한된 중소 조직이 가장 취약하다고 지적했습니다. 그 이유는 기술적이라기보다 운영상의 이유입니다:
- 공급업체 이메일에 응답하는 사람이 결제를 승인하는 같은 사람인 경우가 많아 이중 확인이 없습니다.
- 공급업체 마스터는 확인 전화 없이 요청만으로 업데이트됩니다. 전화를 걸어 확인하는 것이 늦은 지급을 수정하는 것보다 느리게 느껴지기 때문입니다.
- 급여 및 공급업체 은행 변경 사항은 이메일로 도착하며 당일 처리됩니다. 팀이 슬림하고 반응이 빠르기 때문인데, 바로 BEC가 악용하는 특성입니다.
- 이메일에 다중 인증(MFA)이 적용되지 않아, 피싱된 비밀번호 하나로 공격자는 지속적인 접근 권한과 향후 모든 이메일 사본을 유지하는 전달 규칙을 설정할 수 있습니다.
IC3에 보고된 BEC 중앙값 손실은 다른 사이버 범죄의 중앙값보다 훨씬 높습니다. BEC는 엔드포인트가 아니라 결제 자체를 노리기 때문입니다. 단 한 건의 성공적인 송금은 중소기업의 연간 이익을 초과할 수 있으며, 회수율은 첫 24시간 이후 급격히 떨어집니다.
FBI가 실제로 효과가 있다고 밝힌 통제
FBI, 연방준비제도의 FraudClassifier 모델, 그리고 국의 현장 지침은 모두 동일한 통제 세트로 수렴합니다. 값비싼 기술이 필요한 것은 없습니다. 결제 시점의 규율만 필요합니다.
1. 모든 결제 지시 변경 사항을 대역 외(Out-of-Band)로 검증하세요
이것은 가장 효과적인 단일 통제이며, 가장 자주 건너뛰는 통제이기도 합니다.
자금이 보내질 곳의 변경(새 계좌 번호, 새 은행, 새 송금 지시, 새 직접 입금)을 요청하는 이메일이 오면 그 이메일에 답장하지 마세요. 이메일에 있는 번호가 아니라 기록에 있는 알려진 번호로 전화를 걸어 알려진 담당자와 통화하여 변경 사항을 확인하세요. 고액 변경의 경우 전화 통화와 대면 또는 별도 채널을 통한 두 번째 승인을 모두 요구하세요.
검증을 문서화하세요: 누가 누구에게, 어떤 번호로, 언제 전화했고, 무엇을 확인했는지. 그 기록은 상대방이 나중에 수령을 부인할 경우 감사 추적 자료가 됩니다.
공급업체 마스터의 경우 세 가지 필드를 추가하고 이를 강제하세요:
- 콜백 후에만 설정되는 "검증됨" 플래그 — 전화 날짜와 이니셜 포함.
- 신규 또는 변경된 계좌에 대한 보류 기간 — 새 계좌로 첫 결제가 이루어지기 전 24~48시간.
- 이메일만으로 은행 정보를 업데이트하는 것 금지 — 모든 변경에 대해 서명된 양식과 콜백을 요구하며, 예외 없음.
2. 요청자와 승인자를 분리하세요
한 사람이 공급업체를 생성하고, 은행 정보를 변경하고, 결제를 승인할 수 없어야 합니다. 3인 팀에서도 직무를 분리할 수 있습니다:
- A(종종 대표 또는 운영 담당자)가 공급업체 관계를 승인합니다.
- B(회계 담당)가 공급업체와 결제를 입력하지만, 임계값 이상의 전신송금은 승인할 수 없습니다.
- C(대표 또는 두 번째 관리자)가 임계값 이상의 전신송금 또는 급여 변경을 승인합니다.
많은 회계 시스템에서 이는 인력 문제가 아니라 워크플로 설정입니다. ACH 및 전신송금 배치에 대한 승인 임계값을 활성화하고, 공급업체 마스터 변경에 대한 알림을 활성화하세요. 은행에서 전신송금에 대한 이중 승인(한 사용자가 송금을 생성하고 두 번째 사용자가 해제)을 지원한다면, 프로세스에 5분이 추가되더라도 켜두세요.
3. 이메일 보안을 강화하세요 — 결제 경로의 현관문
BEC가 이메일에 존재하기 때문에 이메일 위생은 결제 위생입니다.
- 모든 이메일 계정에 다중 인증(MFA)을 요구하세요. 특히 재무, HR, 대표 계정에 필수입니다.
- 외부 주소로의 자동 전달을 차단하세요. FBI 지침은 전달 규칙을 지속성 메커니즘으로 반복적으로 지적합니다 — 공격자는 모든 이메일 사본을 외부 주소로 전달하는 규칙을 설정하고 규칙 생성 알림을 삭제합니다.
- 외부 이메일 및 유사 도메인에 플래그를 지정하세요. 조직 외부에서 온 메일에 라벨을 붙이고, 발신자 표시 이름이 내부 이름과 일치하지만 주소가 다른 경우 경고하도록 이메일 시스템을 구성하세요.
- 전달 및 위임 규칙을 분기별로 검토하세요. 30초 감사로 아무도 만들 기억이 없는 규칙을 찾아낼 수 있습니다.
4. 급여 검증 의식을 구축하세요
급여 유용은 공급업체 통제를 완전히 우회하는 BEC 변형입니다. HR을 표적으로 삼기 때문입니다. 직접 입금 정보 변경 요청을 결제 변경으로 취급하세요:
- 직원이 이메일이 아닌 MFA로 로그인한 급여 시스템에서 변경 사항을 제출하도록 요구하세요.
- 이메일 요청을 받은 경우, 이메일에 있는 번호가 아닌 HR 기록에 있는 번호로 직원에게 전화하여 확인하고, 이전 계좌의 마지막 4자리 확인과 같은 두 번째 요소를 요구하세요.
- 모든 은행 변경 사항을 이전/이후 기록과 검증 메모와 함께 기록하세요.
5. 사기를 올바르게 분류하고 기록하세요
연방준비제도의 FraudClassifier 모델은 기업이 사기 이벤트를 일관되게 태그하도록 권장합니다 — 사기가 어떻게 발생했는지(사칭, 계정 탈취, 결제 정보 변경)와 무엇이 이를 가능하게 했는지(탈취된 자격 증명, 콜백 부재). 이 규율은 규제 기관을 위한 것만이 아닙니다. 실패한 시도까지 포함하여 BEC 시도를 일관된 분류 체계로 기록하면 패턴을 볼 수 있습니다: 어떤 공급업체가 반복적으로 사칭되고, 어떤 직원이 반복적으로 표적이 되며, 어떤 통제가 실패했는지.
전신송금이 실제로 잘못된 계좌로 나간 경우 IC3는 즉각적인 조치를 권장합니다:
- 자금 회수 또는 보류를 요청하기 위해 금융 기관에 연락하세요.
- ic3.gov에서 FBI의 IC3에 연락(BEC 선택)하거나 지역 현장 사무소에 연락하여 사건을 BEC로 식별하고 수취 은행 및 계좌를 포함한 송금 세부 정보를 제공하세요.
- 원본 이메일을 전체 헤더와 함께 보존하세요 — 인라인으로 전달하지 마세요. 헤더가 제거됩니다. 첨부 파일로 전달하거나 .eml/.msg로 내보내세요.
회수 가능성은 24시간 이내에 가장 높으며 그 이후 급격히 떨어집니다. 회수 요청이 빠를수록, 그리고 송금 세부 정보가 완전할수록 자금이 동결될 가능성이 높아집니다.
이번 주에 채택할 수 있는 최소한의 검증 정책
20페이지 분량의 정책이 필요하지 않습니다. 모든 사람이 예외 없이 따르는 한 페이지 규칙이 필요합니다:
- 이메일만으로는 결제 데이터를 변경할 수 없습니다. 모든 신규 공급업체 계좌 또는 기존 계좌의 변경은 알려진 번호로의 콜백과 두 번째 승인이 필요합니다.
- 2,500달러를 초과하는 전신 또는 ACH 송금은 이중 승인이 필요합니다. 임계값은 거래량에 맞게 조정하되, BEC 중앙값 송금을 잡을 수 있을 만큼 낮게 유지하세요.
- 급여 변경은 MFA를 통한 급여 포털에서만 가능하며, 이메일로 시작된 요청은 콜백이 필요합니다.
- 공급업체 마스터 변경 및 이메일 전달 규칙을 월별로 검토하고 서명을 받으세요.
- 자금을 이동할 수 있는 모든 사람(대표 포함)에 대한 분기별 피싱 및 BEC 시뮬레이션을 실시하세요.
이 다섯 가지 항목을 회계 매뉴얼에 추가하고, 회계 시스템과 은행 포털에서 해당 설정을 활성화하면, 돈을 잃지 않은 사례에 FBI가 기여한 것으로 돌리는 통제를 구현한 것입니다.
결제 기록을 검증 가능하게 유지하세요
BEC는 받은 편지함이 말하는 것과 원장이 증명하는 것 사이의 간극을 악용합니다. 규율 있는 총계정원장 — 은행 검증 시점을 보여주는 공급업체 마스터, 직접 입금 변경 시점과 검증 방법을 보여주는 급여 기록, 누가 누구에게 무엇을 해제했는지 보여주는 송금 승인 — 은 그 간극을 메웁니다. 모든 결제 변경이 통화, 승인자, 타임스탬프로 추적 가능할 때, 이메일만으로는 더 이상 자금을 이동시킬 수 없습니다.
재무 관리를 간소화하세요
결제 검증은 그 뒤에 있는 재무 기록만큼만 강력합니다. Beancount.io는 모든 공급업체, 모든 은행 계좌, 모든 급여 변경, 모든 승인이 투명하고 감사 가능한 일반 텍스트 기반 버전 관리 회계를 제공합니다 — 그래서 콜백 규율이 단지 기억되는 것이 아니라 문서화됩니다. 무료로 시작하기를 통해 다음 전신사기 시도가 검증 단계에서 실패하게 만드세요.