BEC(Business Email Compromise) 공격 분석: 거래처 사칭과 송금 계좌 변경 수법

비즈니스 이메일 해킹의 실체와 우리의 자산을 지키는 방법

디지털 전환이 가속화되면서 기업 간의 소통과 거래 대부분이 이메일을 통해 이루어지고 있습니다. 편리해진 만큼 사이버 범죄의 수법도 날로 교묘해지고 있는데 그중에서도 가장 큰 재산 피해를 낳는 공격 형태가 바로 비즈니스 이메일 침해입니다. 이 공격은 단순히 시스템을 마비시키는 것이 아니라 인간의 심리와 업무 프로세스의 허점을 파고들어 수천만 원에서 수십억 원에 달하는 금액을 가로챕니다. 기업의 규모와 업종을 가리지 않고 발생하기 때문에 모든 직장인이 반드시 알아야 할 현대 비즈니스의 필수 보안 상식입니다.

거래처를 감쪽같이 흉내 내는 위험한 수법

비즈니스 이메일 침해 공격은 해커가 기업의 이메일 계정을 탈취하거나 정교하게 위조하여 거래처나 임직원으로 신분을 속이는 사기 수법입니다. 영화에서나 나올 법한 고도의 해킹 기술보다는 사회공학적 기법 즉 사람의 신뢰를 이용하는 심리전을 주로 사용합니다. 공격자는 오랜 시간 동안 타겟 기업과 거래처 사이의 소통을 몰래 지켜보며 말투와 업무 패턴 그리고 프로젝트 진행 상황까지 완벽하게 파악합니다. 그리고 가장 결정적인 순간에 등장하여 거래 대금을 보낼 계좌가 바뀌었다는 가짜 안내를 보냅니다.

자주 쓰이는 공격의 세 가지 유형

이러한 사기 수법은 기업의 상황에 맞춰 다양한 형태로 변형되어 나타납니다. 첫째는 대표나 임원을 사칭하여 긴급하게 송금을 지시하는 유형입니다. 주로 출장 중이거나 급한 업무 처리 중이라는 핑계를 대며 부하 직원에게 보안을 유지한 채 빠른 송금을 요구합니다. 둘째는 실제 거래처의 이메일 계정을 해킹하여 진행 중인 대금 청구서의 계좌번호를 몰래 바꿔치기하는 유형입니다. 셋째는 거래처와 유사한 도메인을 만들어 마치 진짜 거래처인 것처럼 위장해 메일을 보내는 방식입니다. 이메일 주소의 알파벳 하나를 미세하게 바꾸는 방식을 쓰기 때문에 주의 깊게 보지 않으면 속기 쉽습니다.

진짜와 가짜를 구별하기 어려운 이유

많은 사람들이 이메일 보안 프로그램만 믿고 있으면 안전할 것이라고 생각합니다. 하지만 비즈니스 이메일 침해 공격은 악성코드를 동반하지 않는 경우가 많아 일반적인 백신 프로그램으로는 탐지하기 어렵습니다. 해커들은 실제 존재하는 정상적인 웹메일 계정을 해킹해서 사용하거나 도메인 인증 기술을 우회하는 치밀함을 보입니다. 특히 거래처와의 실제 대화 내용 맥락을 그대로 이어받아 메일을 보내기 때문에 담당자는 아무런 의심 없이 자연스럽게 속아 넘어가게 됩니다. 주소가 미세하게 다르다는 사실을 발견하지 못하거나 평소와 다른 계좌로 송금을 요청받아도 급하다는 이유로 그냥 넘어가 버리는 것이 가장 큰 원인입니다.

피해를 막기 위한 실질적인 업무 지침

이러한 공격으로부터 회사의 자산을 지키기 위해서는 기술적인 대비와 함께 업무 프로세스의 변화가 필수적입니다. 돈과 관련된 중요한 요청을 받았을 때는 절대 이메일 회신 기능만 믿어서는 안 됩니다. 반드시 사전에 등록된 공식 유선 연락처나 기존에 확인된 전화번호로 직접 통화하여 사실 여부를 교차 검증해야 합니다. 이메일 주소가 평소와 조금이라도 다르거나 발신자의 어조가 낯설다면 한 번 더 의심해 보는 습관을 들여야 합니다.

송금 계좌 변경 요청에 대처하는 필수 절차

거래처로부터 갑자기 송금 계좌를 변경한다는 연락을 받았다면 이를 예외적인 비상 상황으로 간주하고 엄격한 확인 절차를 거쳐야 합니다. 회사의 재무나 회계 관련 규정에 계좌 변경 시 반드시 대표자 승인이나 대면 확인을 거치도록 하는 명확한 단계를 만들어야 합니다. 담당자가 혼자 판단하여 처리하지 못하도록 이중 삼중의 승인 장치를 마련하는 것이 비용이 들지 않으면서도 가장 확실한 예방법입니다. 새로운 계좌로 돈을 보내기 전에는 기존에 거래하던 담당자에게 다른 통로로 직접 연락해 변경 사유와 정확한 계좌 정보를 재확인하는 프로세스를 의무화해야 합니다.

이메일 환경을 안전하게 만드는 설정 방법

기술적으로는 이메일 보안 설정을 강화하여 사칭 메일의 유입을 원천 차단하거나 경고를 받을 수 있도록 해야 합니다. 외부에서 들어오는 이메일이 사칭 메일인지 판별해 주는 인증 표준 기술들을 메일 서버에 적용해야 합니다. 또한 사내 임직원들의 이메일 계정에 다단계 인증을 반드시 설정하여 비밀번호가 유출되더라도 해커가 쉽게 로그인하지 못하도록 보호해야 합니다. 퇴사자의 계정은 즉시 비활성화하고 장기간 사용하지 않는 휴면 계정은 철저하게 관리하는 기본적인 보안 위생도 빼놓지 말아야 합니다.

직원들의 보안 의식을 높이는 교육의 중요성

아무리 훌륭한 보안 시스템을 갖추어 놓더라도 결국 최종적으로 메일을 열고 송금 버튼을 누르는 것은 사람입니다. 따라서 전사적인 보안 교육을 정기적으로 실시하여 최근의 사기 수법과 위험성을 모든 임직원이 공유해야 합니다. 특히 재무, 회계, 구매 부서와 같이 자금 집행을 직접 담당하는 실무자들을 대상으로 집중적인 모의훈련과 교육을 진행하는 것이 효과적입니다. 의심스러운 메일을 발견했을 때 누구에게 어떻게 신고해야 하는지 사내 보고 체계를 명확하게 구축해 두는 것도 중요합니다.

흔히 갖는 오해와 진실

보안에 대해 이야기할 때 대기업만 이런 해커들의 표적이 된다는 오해를 하곤 합니다. 하지만 실제로는 중소기업이나 소상공인이 보안 인프라가 상대적으로 취약하다는 약점을 노려 훨씬 더 빈번하게 공격을 받습니다. 또한 보안 솔루션을 비싼 비용을 주고 도입했으니 안전할 것이라는 맹신도 버려야 합니다. 인간의 심리를 파고드는 사회공학적 공격은 완벽한 기술적 차단이 어려우므로 프로세스와 교육이 병행되지 않으면 언제든 뚫릴 수 있습니다.

사고 발생 시 신속한 대처 방법

만약 의심스러운 계좌로 송금을 이미 마쳤거나 피해를 당한 사실을 뒤늦게 알게 되었다면 단 1초도 지체해서는 안 됩니다. 즉시 자금을 송금한 은행에 연락하여 지급정지를 요청하고 거래처와 자사 IT 부서에 이 사실을 동시에 알려야 합니다. 피해 금액이 해외로 빠져나가기 전에 신속하게 신고하고 관계 기관의 도움을 받아 계좌 동결 조치를 취하는 것이 피해를 최소화하는 유일한 길입니다.

비즈니스 이메일 침해 대응에 관해 자주 묻는 질문

거래처 메일 주소가 평소와 똑같아 보이는데도 사칭일 수 있나요

그렇습니다. 이메일 헤더를 조작하여 발신자 주소를 눈에 보이는 것만 진짜처럼 보이게 만드는 스푸핑 기술이 존재하므로 주소만 믿어서는 안 되며 본문의 내용이나 문맥에 이상함이 없는지 살펴야 합니다.

해외 거래처와 주로 거래하는데 영어로 된 계좌 변경 메일은 어떻게 검증해야 하나요

언어의 장벽 때문에 전화 통화나 직접 확인을 꺼리는 경우가 많지만 이 점을 해커들이 노립니다. 영어 소통이 어렵더라도 번역기를 사용하거나 기존에 통화하던 담당자에게 반드시 화상 회화나 전화로 계좌 변경을 승인받는 절차를 거쳐야 합니다.

우리 회사 메일 계정이 해킹당했는지 스스로 확인할 수 있는 방법이 있나요

보낸사람 편지함에 본인이 보내지 않은 메일이 남아있거나 로그인 기록에 평소와 다른 지역이나 해외 IP가 접속한 흔적이 있다면 해킹을 강력하게 의심해 보아야 합니다.

중소기업이라 별도의 보안 담당자가 없는데 무엇부터 시작해야 하나요

전문 인력이 없더라도 모든 이메일 계정에 이중 로그인 인증을 설정하고 자금 송금 시 반드시 전화 확인을 거치는 사내 규칙을 제정하는 것만으로도 대부분의 사고를 예방할 수 있습니다.