해외 무역 결제 사기(BEC),
계좌 변경 통보를 받으면.

BEC(이메일 계정 해킹 결제 사기)란 무엇인가요?

BEC는 공격자가 거래 상대의 이메일 계정을 직접 해킹하거나, 실제 도메인과 구분하기 어려운 유사 도메인을 만들어 발신자를 위장하는 사기 수법이다. 국제 범죄 수사 기관들은 BEC를 전 세계적으로 피해 규모가 가장 큰 사이버 범죄 유형 중 하나로 분류한다.

크로스보더 B2B 거래가 특히 취약한 이유가 있다. 거래 당사자가 서로 다른 나라에 있어 직접 대면 확인이 어렵고, 대규모 국제 송금이 이메일 하나로 처리되는 관행이 이어지기 때문이다. 한 번 보낸 국제 전신환(T/T)은 사실상 되돌리기 어렵다는 점이 공격자에게 유리하게 작용한다. T/T 결제 흐름과 리스크를 미리 이해해두는 것도 예방의 한 축이다.

BEC는 크게 두 유형으로 나뉜다. 첫째, 공급사의 이메일 계정 자체를 해킹해 실제 거래 스레드 안에서 계좌 변경 통보를 삽입하는 방식(계정 탈취). 둘째, 실제 도메인(예: supplier.com)과 한눈에 구분하기 어려운 유사 도메인(supp1ier.com, supplier-kr.com 등)을 등록해 이메일을 발송하는 방식(도메인 스푸핑). 계정 탈취는 이메일 스레드가 그대로 이어지므로 맥락상 전혀 이상하지 않다는 것이 가장 위험한 특징이다.

국제 B2B 거래에서 BEC 피해는 어떻게 발생하나요?

전형적인 공격 흐름을 단계별로 보면 이렇다. ① 공격자가 공급사(또는 구매사) 이메일 계정을 해킹하거나 유사 도메인을 준비한다. ② 기존 이메일 스레드를 수주~수개월간 조용히 감시하며 거래 패턴을 파악한다. ③ 결제 시점이 임박하면 "계좌 정보가 변경됐습니다"라는 이메일을 거래 흐름 안에 자연스럽게 삽입한다. ④ 구매 담당자는 평소 거래하던 곳의 이메일이라 의심하지 않고 새 계좌로 송금한다. ⑤ 피해를 인지했을 때 자금은 이미 공격자 계좌로 빠져나간 뒤다.

핵심은 "왜 이 시점"인가다. 공격자는 발주·납품 협의가 마무리된 직후, 즉 결제 확정 직전에 개입한다. 거래 흐름이 자연스럽게 이어지므로 구매자는 이상함을 느끼기 어렵다. 단일 피해 금액이 수천만 원에서 수억 원에 달하는 경우가 있고, SWIFT를 통한 국제 송금은 수신 은행이 협력하지 않으면 취소가 사실상 불가능하다. 이것이 사후 대응보다 사전 예방이 압도적으로 중요한 이유다.

계좌 변경 통보 이메일이 왔을 때 어떻게 확인하나요?

계좌 변경 통보를 받았다면 아래 확인 절차를 반드시 따른다. 이메일 하나만으로 처리하지 않는다는 원칙을 갖추고 있으면, 이 단계에서 대부분의 피해를 막을 수 있다.

1. 1. 발신자 이메일 주소를 정확히 확인한다 — 수신함에 표시되는 발신자 이름(display name)이 아니라 실제 이메일 주소(@뒤 도메인)를 직접 확인한다. supplier.com과 supp1ier.com은 수신함 목록에서 거의 구분되지 않는다. 가능하면 이메일 원본 보기(Show original)에서 From: 필드를 확인한다.
2. 2. 이메일이 아닌 별도 채널로 직접 연락한다 — 계좌 변경 이메일에 적힌 전화번호나 연락처를 사용하지 않는다. 사전에 등록된 공급사 담당자의 전화·메신저로 "이메일 받았는데 맞나요?"라고 확인한다. 이 단계 하나만 지켜도 대부분의 BEC 피해를 막을 수 있다.
3. 3. 내부 결제 승인 절차를 따른다 — 계좌 변경이 수반된 결제는 금액과 상관없이 단일 담당자 판단으로 처리하지 않는다. 추가 승인자의 확인을 받는다.
4. 4. 기존 계좌가 여전히 유효한지 확인한다 — 가능하면 변경 전 계좌로 소액 테스트 송금을 해서 실제로 공급사에 도달하는지 점검한다.
5. 5. 서면 확인을 요청한다 — 공식 레터헤드 또는 동일 이메일 도메인의 추가 확인서를 요청한다. 정상적인 공급사는 이 요청을 거부하거나 서두르지 않는다. 오히려 "지금 당장 처리해달라"며 압박하는 경우가 사기의 신호다.

결론을 먼저 말하면, 결제 조건 설정만큼이나 중요한 것이 이 확인 절차다. 절차가 번거롭게 느껴져도 생략하는 순간 BEC 공격의 표적이 된다.

이메일 발신자는 어디서 어떻게 검증하나요?

이메일 클라이언트가 보여주는 발신자 이름(display name)은 누구나 임의로 바꿀 수 있다. 실제 발신 도메인은 이메일 '원본 보기(View original)' 또는 '헤더 보기(Show headers)'에서 From: 필드를 직접 확인해야 한다. 세 가지 지점을 본다.

• ▸Reply-To 주소: 도메인 스푸핑의 경우, Reply-To가 공급사 도메인이 아닌 유사 도메인으로 설정되는 경우가 많다. 이메일에 답장할 때 가는 주소와 From: 주소가 다르면 의심한다.
• ▸SPF/DKIM 서명: 이메일 헤더의 "Authentication-Results" 항목에서 spf=pass, dkim=pass 여부를 확인한다. 유사 도메인에서 보낸 이메일은 이 서명이 없거나 fail 상태인 경우가 많다.
• ▸도메인 등록 이력: 유사 도메인은 공격 직전에 새로 등록되는 경우가 많다. 의심스러운 도메인은 WHOIS 조회로 등록일을 확인하는 것도 유효하다.

단, 기술 검증은 이미 의심이 생겼을 때 진행하는 사후 확인이다. 가장 중요한 것은 의심이 없어도 "계좌 변경 시 별도 채널 재확인"이라는 절차를 내부 규칙으로 만드는 것이다. 기술 지표는 실제 계정 탈취의 경우 정상으로 보이기 때문이다.

발주·계약 단계에서 미리 막는 방법

가장 효과적인 BEC 방어는 사후 대응이 아니라 사전 약속이다. 공급 계약서 검토 단계에서 결제 지시 변경 절차를 명시해두면, 실제 사고가 났을 때 책임 소재도 명확해진다.

아래 조항을 계약서 또는 발주 조건에 포함하는 것을 권장한다.

계약 조항 외에도, 내부적으로 결제 담당자용 '결제 지시 변경 확인 SOP'를 문서화하고 주기적으로 공유하는 것이 중요하다. 단순한 문서 존재보다 실무 담당자가 절차를 내재화하고 있는 것이 핵심이다. 계약 상대방과도 "우리는 이 절차를 따른다"고 사전에 공유해두면, 양측 모두 BEC 위험으로부터 보호받는다.

피해가 발생했다면 처음 1시간이 중요합니다

BEC 피해를 인지했을 때 시간이 관건이다. 국제 송금은 완료되면 취소가 어렵지만, 빠른 대응이 자금 회수 가능성을 높인다. 아래 순서를 즉시 실행한다.

1. 1. 즉시 거래 은행 국제외환팀에 연락 — "BEC 사기 의심, 송금 취소 또는 지급 중단 요청"을 구두와 서면으로 동시 진행한다. 은행 영업 시간 외라면 긴급 연락처를 찾아 바로 연결한다.
2. 2. 수신 은행 직접 연락 — 수신 은행 정보가 있다면 해당 은행의 compliance 또는 fraud 팀에 계좌 동결을 요청한다. 수신 은행의 협력이 자금 회수의 핵심이다.
3. 3. SWIFT 자금 반환 요청 — 거래 은행이 수신 은행에 자금 반환 요청 메시지를 발송하도록 요청한다. 수신 은행이 협력하지 않으면 강제 취소는 불가능하므로, 수신 은행과의 직접 소통이 병행되어야 한다.
4. 4. 경찰청 사이버수사대 신고 — 공식 신고 기록을 남겨 국제 공조 수사 요청 근거를 확보한다. 해외 법 집행 기관과의 공조를 위해서도 초기 신고가 중요하다.
5. 5. 법률 자문 확보 — 피해 규모에 따라 즉시 법률 전문가와 협의해 민사 청구 및 보험 청구 가능성을 검토한다.

피해 인지 후 대응이 1시간씩 늦어질수록 자금 회수 가능성은 급격히 낮아진다. 이것이 BEC에서 사전 예방이 압도적으로 중요한 이유다. 크로스보더 분쟁 대응 절차를 미리 이해해두면 긴급 상황에서 대응 속도를 높이는 데 도움이 된다.

블랭크선데이는 발주 전부터 결제·정산까지 국가 간 거래의 전 과정을 하나의 흐름으로 관리합니다. 거래 파트너 검증, 결제 조건 구조화, 계약 검토까지 — 결제 사기 리스크는 거래가 끝까지 굴러가도록 만드는 실행 과정의 일부입니다.