무역사기, ‘계좌가 바뀌었다’는 메일 한 통…수출자는 송금 안 해도 피해 본다

BEC(Business Email Compromise)는 업무용 이메일과 거래 관계를 악용하는 사기다. FBI는 실제 계정 침입뿐 아니라 유사 발신주소와 정상 거래서신을 이용하는 수법도 설명한다. 따라서 평소 거래하던 이름으로 왔다는 사실이나 이전 대화가 붙어 있다는 사실만으로 새 지급지시의 진위를 확정할 수 없다. [1]

수출자 사칭의 흐름은 이렇다. 수출기업이 정상 계좌가 적힌 청구서를 발송한다. 사기범은 수출자처럼 보이는 주소나 침해 계정으로 ‘계좌 변경’을 알린다. 바이어 회계팀은 수정된 계좌로 송금한다. 수출자는 지급을 기다리고 바이어는 이미 지급했다고 믿는다. 먼저 돈을 보낸 쪽과 매출대금을 못 받은 쪽이 서로 다른 회사일 수 있다는 점이 이 유형의 어려움이다.

KOTRA 토론토무역관은 2019년 한국기업의 인보이스 계좌정보가 변조돼 캐나다 바이어가 다른 계좌로 송금한 사례를 소개했다. 이는 스테이블경제가 직접 취재한 사건이 아니며, 당시 보고된 특정 사례다. 한국무역보험공사의 2025년 설명회 자료에도 수출자 사칭 후 거짓 입금계좌를 안내하는 구조가 담겨 있다. [3] [4]

‘우리 회사는 해외로 송금하지 않으니 해당 없다’는 판단은 이 구조를 놓친다. 수출자의 계좌정보를 누가 어떤 채널로 바이어에게 전달하는지가 보안 절차의 일부다. 실제 계좌를 바꿀 때뿐 아니라 계좌를 바꾼 적이 없는데 상대가 변경 통지를 받았다고 할 때도 사고 대응을 시작해야 한다.

미 FBI 인터넷범죄신고센터(IC3)의 2025년 연차보고서에는 BEC 신고 2만4,768건과 신고손실 30억4,659만8,558달러가 기록됐다. 각각 보고서 7·8쪽 수치다. 이는 IC3에 접수된 신고 집계이며 한국 수출기업만의 피해나 세계 전체 발생 규모가 아니다. 개인과 기업이 포함된 범주라는 점도 함께 읽어야 한다. [2]

큰 숫자를 국내 수출 현장에 그대로 대입하면 기사에 없는 사실을 더하게 된다. 이 조사에서는 한국 전체의 최신 BEC 발생 건수나 회수율을 확보하지 못했다. 특정 기관 사고 집계와 다년 누적 수치, 한 해 신고손실은 서로 다른 모집단이다. 여러 표의 숫자를 합쳐 ‘총피해’라고 제시하지 않았다.

통계가 알려 주는 것은 이 유형이 실재하며 상당한 신고손실을 낳는다는 사실이다. 특정 회사가 계좌 변경 메일을 받았을 때 사기일 확률이나 대응 후 회수 가능성을 계산해 주지는 않는다. 실무에서는 통계보다 새 지시가 기존 계약·수취원장과 어디서 달라졌는지 확인하는 편이 먼저다.

작은 기업도 확인 절차를 둘 이유가 있다. 한 사람이 영업·청구·수금을 모두 맡으면 거래 맥락은 잘 알지만 급한 변경지시를 혼자 끝내기도 쉽다. 큰 조직에서는 영업이 변경 내용을 알아도 회계팀의 원장에 반영되지 않는 틈이 생긴다. 회사 규모보다 변경을 접수한 사람과 검증·승인하는 사람이 어떻게 연결되는지 살펴야 한다.

표시 이름은 전체 이메일 주소와 다르다. 발신주소의 도메인, 답장받는 주소(Reply-To), 평소 파일과 달라진 계좌·예금주·은행 소재지를 나눠 확인한다. FBI는 계좌번호나 지급절차 변경을 검증하고 철자와 주소를 세심하게 보도록 권한다. 다만 주소가 정상이라는 이유로 안전이 확정되는 것도 아니다. 진짜 메일함이 침해됐을 수 있기 때문이다. [1]

이 표는 사기 여부를 자동 판정하는 진단표가 아니다. 한 항목이 다르면 검증할 이유가 생기고, 모두 같아도 독립 확인을 생략할 이유가 생기지는 않는다. 전자서명 모양, 회사 직인 이미지, 은행 확인서처럼 보이는 PDF도 발신자의 권한을 그 자체로 증명하지 않는다.

청구서 수정본은 번호와 수정 사유를 남기되, 수정된 계좌정보가 문서에 있다는 이유만으로 승인 원장을 덮어쓰지 않는다. 회사가 실제 계좌를 변경했다면 이전 계좌의 사용 종료 여부와 이미 송금 중인 거래의 처리도 별도로 안내해야 한다. 사기 방어와 정상 변경의 업무 혼선을 함께 줄이는 절차가 필요하다.

전화 확인에서 핵심은 채널의 독립성이다. 변경 요청 메일에 적힌 새 전화번호로 걸면 사기범이 제공한 지시를 같은 사기범에게 확인하는 결과가 될 수 있다. FBI는 기업의 전화번호를 독립적으로 찾아 확인하고 사기범이 제공한 번호를 쓰지 말라고 안내한다. [1]

편집팀이 권하는 운영 방식은 거래 시작 때 검증한 재무 담당자와 연락처를 별도로 보관하는 것이다. 변경 요청을 받으면 그 번호로 콜백해 회사명, 변경 권한, 예금주, 은행과 계좌정보를 대조한다. 상대가 ‘맞다’고 답했다는 기록만 남기기보다 무엇을 확인했는지 남겨야 다음 담당자가 판단 근거를 읽을 수 있다.

계좌를 입력하는 사람과 변경을 승인하는 사람도 나눠 본다. 두 사람이 같은 PDF만 읽고 승인 버튼을 누르면 같은 조작자료를 두 번 본 것에 그칠 수 있다. 두 번째 승인자는 독립 콜백이 실제 있었는지와 확인한 정보가 최종 원장에 반영됐는지를 확인하는 역할을 맡는다. 이는 편집팀의 내부통제 제안이며 모든 기업에 적용되는 법정 의무라는 뜻은 아니다.

다중인증(MFA)은 이메일 로그인에 추가 확인을 요구하는 수단이다. FBI가 권하는 기본 예방 조치 중 하나지만, 켜 놓았다는 사실이 모든 사칭지시를 막는다는 뜻은 아니다. 계정 보안과 지급지시 검증을 함께 운영해야 한다. 임직원이 사칭 의심을 알렸을 때 ‘거래처를 의심하지 말라’며 절차를 건너뛰지 않는 승인 문화도 필요하다.

현실적인 중단 조건도 정해 둔다. 확인 담당자와 통화가 안 되거나 양사 정보가 다르면 신규 계좌로의 지급 안내를 보류하고 책임자에게 올리는 식이다. 임시 계좌나 개인 계정으로 우선 처리하자는 제안은 정상 경로의 공백을 더 키울 수 있다. 긴급 상황에서도 누가 예외를 승인할지 미리 정해야 담당자가 혼자 위험을 떠안지 않는다.

IC3는 사기를 알게 되면 즉시 송금 금융기관에 연락해 회수·반환 가능 절차와 필요한 서류를 문의하라고 안내한다. 해외 바이어가 송금했다면 실제 송금은행에 지시할 주체는 우선 그 바이어다. 한국 수출자가 자사 은행에 문의하는 일과 별개로, 바이어에게 독립 채널로 사고 정황을 알려 송금은행 대응을 요청해야 한다. [5]

표는 기관 안내를 거래 구조에 맞춰 재구성한 편집팀의 실무안이다. 긴급 신고와 증거 정리를 순차로 끝낼 필요는 없다. 한 사람이 자료를 정리하는 동안 다른 담당자가 은행에 연락할 수 있다. 송금은행에 처음 알릴 때부터 모든 조사를 마칠 때까지 기다리면 안 된다.

경찰청 ECRM은 긴급 신고 112, 민원상담 182를 안내한다. 온라인으로 작성해도 증빙과 진술 확인을 위해 경찰서 출석이 필요할 수 있다. 법인 담당자의 접수 방식은 관할서나 상담 창구에 확인한다. 온라인 접수 버튼이 자금 반환이나 모든 수사 절차의 완료를 뜻하지는 않는다. [7]

신고·은행 대응 기록은 같은 시간표로 관리한다. 현지 시간과 한국 시간을 섞으면 어느 지시가 먼저 있었는지 혼동할 수 있다. 각 사건의 시각에 시간대를 함께 적고, ‘추정’과 은행이나 상대가 확인한 사실을 구분한다. 담당자가 교대해도 남은 조치와 연락 대상을 이어받을 수 있어야 한다.

아니다. Swift의 2025년 10월 안내는 송금은행 측이 중단·회수 요청을 시작하고 지급 처리기관이 응답하는 구조를 설명한다. 요청이 전달된 상태와 지급 중단·반환이 시작된 상태를 구분한다. 기업이 송금증에서 취소 버튼을 누르면 자동 환급되는 서비스로 이해해서는 안 된다. [6]

실제 반환은 자금이 어느 단계에 있는지, 수취계좌에 남아 있는지, 해당 은행과 수사기관이 어떤 권한으로 조치할 수 있는지 등에 달려 있다. 이 기사에서는 ‘몇 시간 이내면 무조건 회수’ 같은 시간을 제시하지 않는다. 빠른 신고가 필요하다는 안내와 회수 결과를 보장하는 말은 다르다.

한국에서 신고했다는 이유로 해외 수취계좌가 자동 동결된다고 단정할 수도 없다. 모든 기업 BEC 송금에 국내 특정 지급정지 제도가 동일하게 적용된다는 근거는 확보하지 못했다. 은행에 적용 가능한 절차를 확인하고 필요하면 현지 기관·수사기관과의 협력 범위를 문의해야 한다.

바이어의 지급채무가 사라졌는지도 별도 쟁점이다. 누가 어떤 지시를 했는지, 실제 계정 침해와 확인 절차는 어땠는지, 계약과 준거법은 무엇인지에 따라 책임 판단이 달라진다. ‘바이어는 이미 보냈으니 끝’이나 ‘수출자가 무조건 다시 청구하면 된다’고 일률적으로 결론내리면 안 된다. 자금 추적과 계약상 권리 검토를 분리해 병행할 이유다.

IC3 신고 FAQ는 관련 원본 자료를 보관하도록 안내한다. 메일을 삭제하거나 계정을 초기화하기 전에 원문과 첨부파일, 관련 기록을 담당자와 함께 보존해야 한다. PDF 인보이스 한 장이나 화면 캡처만으로는 발신 경로와 변경 시점을 충분히 확인하기 어렵다. [8]

편집팀의 기록 목록은 계약·발주서, 정상 청구서와 변경본, 전체 헤더가 포함된 이메일 원문, 송금증, 계정 접속과 전달 규칙 기록, 콜백 내역이다. 기록 수집과 보안 복구는 양자택일이 아니다. IT·메일 제공자와 협의해 관련 로그를 보존하면서 의심 세션 차단과 인증수단 재설정 같은 필요한 조치를 진행한다.

사고 후에는 동일 거래의 다른 수취정보도 다시 검증한다. 바이어 한 곳에만 보낸 메일이 변조됐는지, 같은 계정에서 다른 미결제 건도 안내했는지 범위를 확인한다. 정상 거래처에 통지할 때는 의심 메일의 전달 버튼만 누르기보다 이미 검증한 연락망을 쓴다. 사고를 조사하는 연락 자체가 또 다른 사칭에 노출되지 않도록 하기 위해서다.

스테이블코인 수취를 검토하더라도 이 교훈은 남는다. 주소와 네트워크를 바꾸라는 지시의 진위를 확인해야 한다는 것은 지급정보 관리에 관한 운영상 판단이다. 코인 전송을 사용한다는 이유로 메일 사칭이 사라지거나 회수가 보장된다고 볼 근거는 없다. 전송 경로를 바꿔도 수취정보의 승인권한은 회사가 관리해야 한다.

인보이스 자체의 필수 항목은 수출 인보이스 작성법, 계좌정보가 정상인데 입금되지 않은 경우는 수출대금 입금 지연에서 이어서 확인할 수 있다. 이 글에서 추가한 기준은 변경을 허용하는 절차와 사고 때 행동할 주체다. 청구·수금 기록을 정리하는 일과 사기 지시를 독립 검증하는 일을 각각 맡겨야 한다.