거래처 담당자 이름으로 “계좌가 바뀌었으니 이번 대금은 이쪽으로 보내 달라”는 메일이 오고, 대표 목소리로 “급한 건이니 먼저 송금하고 보고하라”는 전화가 옵니다. 문서도 목소리도 진짜처럼 보이는 시대에 작은 회사가 가장 흔하게 당하는 사고는 해킹이 아니라 직원이 스스로 보낸 송금입니다. 한 번 나간 돈은 되찾기 어렵고, 보안 장비는 이 사고를 막아 주지 않습니다.
이 글에서 확인할 것
- 송금 요청을 발신자·내용·경로 세 갈래로 나눠 보는 이유
- 보안 장비가 있어도 돈이 나가는 구조
- 요청 유형별 확인 항목 표와 확인하는 순서
송금 요청은 세 갈래로 나눠서 본다
수상한 송금 요청이라고 하면 보통 메일 주소가 이상한지만 봅니다. 실제로는 세 가지를 따로 봐야 합니다. 누가 보냈느냐 하는 발신자, 무엇을 요구하느냐 하는 내용, 어떤 길로 왔느냐 하는 경로입니다. 발신자는 실제 거래처 계정이 탈취된 경우 완벽하게 진짜이고, 내용은 평소 거래와 금액까지 맞춰져 있으며, 경로만 평소와 다른 경우가 많습니다.
세 갈래를 한꺼번에 보면 “메일 주소가 맞으니 진짜”라는 판단으로 끝납니다. 발신자가 맞아도 내용이 평소와 다르고, 내용이 평소와 같아도 경로가 다르면 멈춰야 합니다. 특히 계좌 변경, 급한 처리, 비밀 유지라는 세 요소가 한 요청에 같이 들어 있으면 그 자체가 신호입니다.
이 구분은 직원 개인의 눈썰미가 아니라 회사의 절차로 만들어 두어야 합니다. 판단을 개인에게 맡기면 바쁜 날, 익숙한 거래처, 상사 이름 앞에서 무너집니다.
보안 장비가 있어도 돈은 나간다
방화벽과 백신을 갖춘 회사도 이 사고를 당합니다. 공격이 시스템을 뚫는 것이 아니라 사람의 승인을 얻어 내기 때문입니다. 정상 계정에서 온 정상 형식의 메일, 실제 대표의 말투를 흉내 낸 음성, 회사 로고가 박힌 계좌 변경 공문은 어느 장비도 걸러 주지 않습니다.
또 하나는 확인 방법입니다. 의심이 들어 확인 전화를 걸었는데, 메일 하단에 적힌 번호로 걸면 그 번호도 공격자의 것입니다. 답장으로 “맞나요”라고 물으면 같은 계정에서 “맞다”고 옵니다. 확인은 요청이 온 경로가 아니라 회사가 원래 알고 있던 경로로 해야 의미가 있습니다.
마지막으로 권한입니다. 담당자 한 사람이 계좌 등록과 송금 실행을 모두 할 수 있는 구조에서는 그 사람이 속는 순간 돈이 나갑니다. 등록하는 사람과 승인하는 사람이 다르기만 해도 사고의 절반은 그 자리에서 멈춥니다.
요청 유형별 확인 항목 표
아래 표는 회사에서 자주 받는 여섯 가지 송금 관련 요청을 놓고, 먼저 확인할 것과 흔히 놓치는 지점을 정리한 것입니다. 금액 기준과 승인 단계는 회사 규모에 따라 다르니 마지막 칸은 자기 회사에 맞게 고쳐 씁니다.
| 요청 유형 | 먼저 확인할 것 | 흔히 놓치는 지점 |
|---|---|---|
| 거래처 계좌 변경 | 기존에 등록된 번호로 직접 전화 | 메일에 적힌 번호로 확인 |
| 대표·임원 명의 긴급 송금 | 본인에게 평소 쓰던 메신저로 재확인 | “바쁘니 묻지 말라”는 말에 순응 |
| 처음 보는 거래처 선입금 | 사업자 등록 정보와 계좌 명의 일치 | 계좌 명의가 개인 이름 |
| 세금계산서 첨부 결제 요청 | 발급 사실을 국세청 화면에서 조회 | 첨부 파일 모양만 보고 결제 |
| 급여·경비 계좌 변경 | 직원 본인 대면 또는 통화 확인 | 인사 담당자 혼자 처리 |
| 해외 송금 | 계약서상 계좌와 국가 일치 | 중개 은행 명목의 추가 계좌 |
표에서 가장 자주 무너지는 줄은 첫째와 둘째입니다. 오래 거래한 회사의 계좌 변경과 대표 명의의 긴급 요청은 의심하는 것 자체가 실례처럼 느껴져 확인을 건너뜁니다. 절차로 정해 두면 “규정이라 확인합니다”라는 한마디로 끝나고, 상대도 이해합니다.
확인하는 순서
순서는 멈추는 것부터입니다. 계좌 변경, 긴급, 비밀 세 요소 중 하나라도 들어 있으면 송금을 실행하지 않고 확인 단계로 넘깁니다. 상대가 재촉해도 이 단계에서는 시간을 씁니다. 정상 거래처라면 하루 늦는 것을 문제 삼지 않습니다.
그다음이 다른 경로로 확인하는 것입니다. 회사가 원래 가지고 있던 연락처 목록에서 번호를 찾아 전화하고, 대표 요청이면 대표가 평소 쓰는 메신저나 대면으로 묻습니다. 요청 메일에 답장하거나 메일에 적힌 번호로 거는 것은 확인이 아닙니다.
세 번째가 기록과 승인입니다. 확인한 사람, 시각, 방법을 적고, 계좌 등록과 송금 승인을 다른 사람이 하도록 나눕니다. 이 흐름은 종이로 시작해도 되지만, 요청이 잦아지면 결재선과 계좌 대장이 한곳에 있는 그룹웨어 구축으로 옮기는 것이 빠릅니다. 승인 이력이 자동으로 남고, 등록된 계좌가 아니면 결재가 올라가지 않게 만들 수 있습니다.
마지막으로 거래처에도 알립니다. “우리 회사는 계좌 변경을 메일로 받지 않고 전화로 재확인한다”는 원칙을 거래 시작 때 공유해 두면, 상대 회사가 탈취당해도 우리 쪽에서 멈춥니다.
회사가 만들어 둘 승인 장치
절차는 사람이 지키는 것보다 시스템이 강제하는 것이 오래 갑니다. 일정 금액 이상 송금과 모든 계좌 변경은 두 사람 승인이 있어야 실행되도록 은행 기업뱅킹의 결재 기능을 켜 둡니다. 대부분의 은행이 제공하는 기능인데 켜 두지 않은 회사가 많습니다.
승인자가 외근이 잦아 결재가 늦어진다면 휴대폰에서 요청 내용과 등록 계좌 일치 여부를 보고 승인만 누르는 승인 전용 앱 제작을 검토할 수 있습니다. 이때 앱에는 계좌 대장과 다른 계좌를 빨간색으로 표시하는 기능이 반드시 들어가야 합니다. 편하게 승인하는 앱이 아니라 멈추게 하는 앱이어야 합니다.
공식 계좌와 담당자 연락처는 회사가 통제하는 곳에 공개해 둡니다. 거래처가 우리 회사의 진짜 계좌를 확인할 수 있는 페이지가 있으면 사칭 공문의 효과가 떨어집니다. 오래된 회사 홈페이지 리뉴얼을 할 때 거래 안내 페이지를 함께 넣으면 비용 없이 해결됩니다.
점검 목록과 정리
- 계좌 변경·긴급·비밀 요소가 있으면 송금을 멈추는 규칙이 있는가
- 확인은 요청이 온 경로가 아니라 회사가 알던 연락처로 하는가
- 계좌 등록과 송금 승인을 서로 다른 사람이 하는가
- 일정 금액 이상은 두 사람 승인이 은행 설정에 걸려 있는가
- 확인한 사람·시각·방법이 기록으로 남는가
- 거래처에 계좌 변경 확인 원칙을 미리 알렸는가
- 회사 공식 계좌를 확인할 수 있는 페이지가 있는가
사칭 송금은 기술이 아니라 절차의 문제입니다. 멈추고, 다른 경로로 확인하고, 두 사람이 승인하는 세 단계만 회사 규정으로 박아 두면 진짜 같은 메일도 목소리도 돈을 가져가지 못합니다. 의심을 개인의 몫으로 두지 말고 회사의 규정으로 만드는 것이 시작입니다.
확인은 요청이 온 길이 아니라 회사가 원래 알던 길로 한다.
