중소기업부터 대기업까지... 스피어 피싱 공격 증가
이메일의 ‘표시 이름(발송자 이름)’ 임의 설정·변경 기능 악용

[보안뉴스 김태형] 최근 국내에서도 이메일을 이용한 무역사기가 기승을 부리고 있다. 지난해 150여건이 발생했고 올해도 이미 40여건이 넘은 것으로 조사됐다. 그 동안 주로 중소기업이 피해를 입었지만, 최근엔 대기업까지 속수무책으로 당했다. 이 외에도 알려지지 않은 이메일 무역사기도 다수 발생한 것으로 드러나 그 피해 건수와 규모는 예상보다 더 클 것으로 추정된다. 이에 본지는 한국무역협회로부터 무역사기 사례와 관련 통계를 입수해 피해실태 및 대응방안을 살펴봤다.



국내 대기업 L사도 지난 4월, 글로벌 기업을 사칭한 이메일을 통해 240억원의 거래대금을 사기 당하는 사건이 발생했다. L사는 사우디아라비아 석유기업으로부터 납품대금 계좌가 변경됐다는 메일을 받고 240억원을 송금했지만 해당 계좌는 사우디 기업과 아무 관련이 없는 계좌인 것으로 밝혀졌다.

이러한 이메일 무역사기를 뜻하는 ‘스캠(Scam)’은 기업의 이메일 정보를 해킹, 거래처로 둔갑해 거래대금을 가로채는 범죄 수법으로 스피어피싱(Spear Phishing) 공격을 이용하는데 그 과정은 다음과 같다.

사이버범죄자들은 먼저 무역회사인 A사의 이메일 서버를 해킹하거나, A사의 특정인에게 악성코드가 들어간 이메일을 발송한다. 이러한 해킹이나 악성코드로 A사의 PC에서 거래업체 및 거래정보를 유출시키는 것. 그런 다음 사이버범죄자들은 평소 거래내역, 결제내역 등 A사 PC에서 확인한 정보를 악용해 거래업체 B사에 대금 결제를 요청하는 허위 이메일을 발송하게 되는 것이다. 이러한 사기는 신종범죄가 아니라 1980년대부터 나타났으며 예전에는 편지를 사용했으나 최근에는 이메일을 사용하면서 그 수법을 달리하고 있다.

[국내 기업 무역사기 사례]
# K사 박OO 대리는 최근 바이어로부터 변경된 계좌로 수입대금을 입금했다는 이메일을 받았다. 박 대리는 계좌를 변경한 적이 없었다. 자초지종을 파악해보니 아프리카 해커가 바이어에게 보낸 이메일을 해킹해 본인 계좌로 입금하도록 꾸민 것이다. 계좌추적 결과 이미 대금은 인출된 상황이었고, 바이어는 대금을 보냈으니 아무런 문제가 없다는 입장이다.

# A사 김OO 대리는 수출상으로부터 이메일로 도착한 선하증권 사본을 가지고 은행으로 향했다. 송금을 해주기 위해서다. 수출상의 법인명과 계좌소유주 이름이 달랐지만 워낙 큰 회사기에 계열사 계좌로 오인하고 송금했다. 얼마 후 선하증권이 위조되었음을 알았지만 대금은 이미 아프리카에서 인출된 상황이었다.

# 해외 업체 B사에서 기계류를 수입하는 중소기업 C사 박OO 대리는 최근 해외 업체 B사가 보낸 대금 결제 계좌가 변경됐다는 이메일을 받고 변경된 계좌로 물품대금을 1억여원을 송금했다. 하지만 이는 해외 업체 B사 이메일을 해킹한 해커에게 속은 것으로 드러났다.

이와 같은 무역사기는 결제대금 계좌가 변경됐다는 이메일을 통해 기업의 결제 담당자가 아무런 의심 없이 이메일로 받은 범죄자의 계좌로 송금하면서 피해를 입게 되는 것이다.

한국무역협회에 따르면, 이러한 이메일 해킹을 통한 무역사기 피해건수는 지난 2013년 44건, 2014년 71건, 2015년 150여건으로 매년 급증하고 있는 추세다. 피해 금액도 2013년 370만 달러에서 2014년 547만 달러로 48%나 급증했다. 이는 아프리카 지역의 인터넷 보급률이 증가하며 이에 따른 인터넷 활용 범죄도 함께 늘고 있기 때문으로 분석되고 있다.

최근 파이어아이의 무역 스캠 관련 보고서에 따르면, 나이지리아 기반 스캐머들에 의한 피해규모는 54개국 2,328명에 달했다. 특히, 이들이 노리는 대상은 영어가 익숙하지 않은 비영어권 중에서도 특히 아시아지역이며 중소기업을 선호했다.

나이지리안 스캐머들은 이메일 해킹을 통해 거래 업체 간 주고받은 메일을 오랫동안 면밀하게 지켜보다가 송금과 관련된 내용이 있을 때 중간에 끼어들어 거래처가 메일 보낸 것처럼 속인다. 특히, 거래처 이메일 주소 중 한글자만 바꿔 비슷한 이메일 주소를 만들기 때문에 영어에 익숙하지 않아 바뀐 이메일 주소를 쉽게 파악할 수 없는 아시아지역 기업들을 선호하는 것이다.

이에 보안전문가들은 무역대금 사기를 예방하기 위해서는 △기업간 계좌 송금 시 전화를 통한 상호간 계좌 확인(반드시 기존 전화번호로 통화) △대금지급방식을 T/T(현금지불방식)에서 L/C(신용장)방식으로 변경 △계약서상 대금지급 계좌를 특정 △주로 쓰는 문서 프로그램이나 윈도우 OS 등 업그레이드 △모르는 이메일 및 첨부파일은 절대 열지 말 것 △온라인 상에 자신의 개인정보 노출 최소화 등의 조치가 필요하다고 지적했다.

한편, 지난 2월 경찰청 사이버범죄대응과는 서울 이태원 소재 은행에서 美 일리노이주의 의료기업 대표이사를 사칭해 ‘거래 대금을 송금하라’는 내용의 이메일을 회사 재무담당자에게 발송하고 자신의 계좌로 대금을 이체 받아 편취한 나이지리아인 무역사기범 3명을 검거했다고 밝혔다.

이들은 수신자에게 발신자가 누구인지를 알려주는 ‘표시 이름(발송자 이름)’을 임의로 설정·변경할 수 있다는 점을 악용해 이메일을 발송했던 것으로 드러났다. 재무담당자(Steve)는 이메일함에서 ‘표시 이름’만 읽고 회사 대표이사(Kevin)가 보낸 것으로 착각해 사기 피해를 당했다. 이는 이메일 주소의 알파벳을 추가·삭제하거나 재배치하는 기존의 주요 범행 유형과는 구별되는 또 다른 유형으로 확인됐다. 이에 따라 발송자 이름이 아는 사람이라고 무조건 신뢰하기 보다는 전화로 직접 확인하는 방법으로 해당 유형의 이메일 사기에 대비해야 한다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>