오늘은 최근 기업 환경에서 급증하고 있는 기업 이메일 사기(BEC, Business Email Compromise)에 대해 가상 사례를 통해 법적 쟁점과 형사 대응 방안을 살펴보겠습니다. BEC는 해킹 또는 이메일 위조를 통해 기업 임직원을 속여 거액을 송금하게 만드는 수법으로, 피해 금액이 수억 원에서 수십억 원에 달하는 경우가 적지 않습니다.
사건 개요 - 무역회사 C사의 28억 원 피해 사례
피해 기업: 서울 소재 중소 무역회사 C사 (연 매출 약 200억 원)
피해자: C사 재무팀장 김모 씨 (42세)
피해 금액: 약 28억 원 (미화 약 210만 달러)
범행 수법: 해외 거래처 이메일 계정 해킹 후 송금 계좌 변경 요청
C사는 베트남 소재 원자재 공급업체 D사와 5년 넘게 거래를 이어오고 있었습니다. 2024년 7월, D사의 담당자 명의로 이메일이 도착했습니다. "은행 계좌를 변경했으니 다음 결제분부터 새 계좌로 송금해달라"는 내용이었습니다.
김모 씨는 이메일 발신 주소가 기존 거래처 도메인과 동일하고, 이전 이메일 대화 내역이 그대로 이어지고 있어 의심 없이 3회에 걸쳐 총 28억 원을 홍콩 소재 계좌로 송금했습니다. 약 2주 뒤 D사로부터 "대금이 입금되지 않았다"는 연락을 받고서야 피해 사실을 인지했습니다.
수사 결과, 범인은 D사 이메일 서버를 해킹하여 수개월간 양사 간 거래 이메일을 감시한 뒤, 결제 시점에 맞춰 위조 이메일을 발송한 것으로 밝혀졌습니다.
쟁점 1 - 적용 가능한 형사 법률과 죄명
BEC 범행에는 여러 형사 법률이 중첩 적용될 수 있습니다. 첫째, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 제48조의 정보통신망 침입 행위가 문제됩니다. D사 이메일 서버에 무단으로 접근하여 이메일을 감시한 행위는 동법 제71조에 따라 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 해당합니다.
둘째, 사기죄(형법 제347조)입니다. 타인을 기망하여 재물을 편취한 행위로서, 피해 금액 28억 원 규모를 고려하면 "특정경제범죄 가중처벌 등에 관한 법률(특경법)"이 적용됩니다. 편취 금액이 5억 원 이상이면 특경법 제3조에 따라 3년 이상의 유기징역에 처하게 됩니다.
셋째, 전자금융거래법 위반 여부도 검토됩니다. 접근매체(이메일 인증 정보 등)를 부정 사용한 경우 동법 제49조에 따라 7년 이하의 징역 또는 5,000만 원 이하의 벌금이 부과될 수 있습니다.
실무 포인트: BEC 사건은 단일 죄명이 아니라 정보통신망법 위반, 사기, 전자금융거래법 위반 등이 경합범으로 적용되는 경우가 대부분입니다. 수사기관에 진정(고소)할 때 가능한 죄명을 모두 특정하여 기재하는 것이 수사 범위를 넓히는 데 유리합니다.
쟁점 2 - 피해 기업 내부 과실 문제와 민사적 책임 분배
BEC 피해 사건에서 반드시 짚어야 할 쟁점이 내부 과실 여부입니다. C사의 경우 다음과 같은 사실이 문제될 수 있습니다.
내부 통제 절차 미비
C사에는 거래처 계좌 변경 시 유선 또는 영상통화로 이중 확인하는 절차가 마련되어 있지 않았습니다. 사내 결제 규정상 5,000만 원 이상 해외 송금은 대표이사 결재를 받도록 되어 있었으나, 관행적으로 재무팀장 단독 결재가 이루어지고 있었습니다.
형사 사건과 민사 책임의 구별
형사적으로 범인의 죄책이 인정된다 하더라도, 피해 금액의 실질적 회수는 별개의 문제입니다. 특히 송금된 자금이 이미 다수 계좌로 분산 이체된 경우, 범인 검거가 이루어지더라도 전액 회수는 현실적으로 매우 어렵습니다.
이 경우 C사 내부에서는 재무팀장 김모 씨의 업무상 과실에 대한 민사 배상 문제, 해외 거래처 D사의 이메일 보안 관리 소홀에 대한 손해 분담 문제가 함께 발생합니다. 실무에서는 국제상사계약의 준거법과 관할 합의에 따라 해외 거래처에 대한 책임 추궁 여부가 달라지므로, 계약서의 보안 의무 조항과 분쟁 해결 조항을 먼저 확인해야 합니다.
실무 포인트: 해외 거래처의 이메일 서버가 해킹된 경우, 거래처 측의 보안 관리 의무 위반을 근거로 손해배상을 청구할 수 있는지가 핵심입니다. 다만 국제소송의 비용과 시간을 고려하면, 먼저 국내에서 범인 특정 및 자산 동결에 집중하는 것이 일반적입니다.
쟁점 3 - 피해 인지 후 골든타임과 실무 대응 절차
BEC 피해의 특성상 피해 인지 후 72시간이 자금 회수의 골든타임입니다. 이 시간이 지나면 자금이 여러 차례 이체되어 추적 자체가 극히 어려워집니다. 피해를 인지한 즉시 다음 순서로 대응해야 합니다.
-
1
송금 은행에 즉시 지급정지 요청 - 거래 은행 국제 업무 담당 부서에 연락하여 해당 송금 건의 지급정지(recall) 또는 동결을 요청합니다. 국내 은행의 경우 전신환 송금 취소 요청까지 통상 1~2영업일이 소요됩니다.
-
2
경찰청 사이버수사국 신고 - 경찰청 사이버수사국 또는 관할 경찰서 사이버팀에 고소장을 접수합니다. 이때 송금 내역서, 이메일 원본(헤더 포함), IP 로그 등을 함께 제출합니다.
-
3
금융감독원 및 KFIU 신고 - 금융감독원에 사기 이용 계좌로 신고하고, 필요시 한국금융정보분석원(KFIU)에 자금 추적을 요청합니다.
-
4
수취 은행 소재국 수사기관 협조 요청 - 이 사례에서처럼 홍콩 계좌로 송금된 경우, 홍콩 경찰(HKPF) 또는 인터폴 채널을 통한 국제 공조수사를 요청합니다. 변호사를 통해 수취국에서 자산 동결 가처분(freezing order)을 신청하는 방법도 있습니다.
-
5
증거 보전 - 이메일 서버 로그, 네트워크 접속 기록, CCTV 영상 등 디지털 증거를 포렌식 전문업체를 통해 원본 보존합니다. 증거 훼손 시 향후 형사재판에서 증거능력이 부정될 수 있습니다.
실무 포인트: 실제로 BEC 피해 기업 중 24시간 이내에 지급정지를 요청한 경우 자금 일부를 동결하는 데 성공한 사례가 있습니다. 반면, 1주일 이상 경과한 후에야 신고한 경우에는 자금이 이미 암호화폐로 환전되거나 다수 국가로 분산되어 회수가 사실상 불가능해진 사례가 대부분입니다.
예방을 위한 실무적 조언
BEC 피해는 사후 대응보다 사전 예방이 훨씬 효과적입니다. 기업 실무에서 반드시 갖추어야 할 대응 체계를 정리하면 다음과 같습니다.
첫째, 계좌 변경 요청에 대한 이중 확인 절차(dual verification)를 의무화해야 합니다. 이메일로 계좌 변경을 요청받은 경우, 기존에 등록된 전화번호로 반드시 유선 확인을 거치도록 사내 규정을 수립하고 이를 준수해야 합니다. 이메일에 기재된 새로운 연락처로 확인 전화를 하는 것은 무의미합니다.
둘째, 이메일 보안 강화가 필요합니다. SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail), DMARC(Domain-based Message Authentication) 등 이메일 인증 프로토콜을 적용하고, 임직원 계정에 다중인증(MFA)을 필수로 설정해야 합니다.
셋째, 정기적인 보안 교육을 실시해야 합니다. 특히 해외 송금 업무를 담당하는 재무 부서 직원에게 BEC 수법과 의심 징후(갑작스러운 계좌 변경, 긴급 송금 요청, 평소와 다른 어투 등)에 대한 교육을 분기별로 실시하는 것이 권장됩니다.
넷째, 사이버 보험 가입을 검토할 필요가 있습니다. 최근에는 BEC 피해를 보장하는 사이버 보험 상품이 출시되어 있으며, 피해 발생 시 포렌식 비용, 법률 비용, 송금 피해액의 일부를 보전받을 수 있습니다. 연간 보험료 대비 잠재적 피해 규모를 감안하면 비용 대비 효과가 높은 편입니다.
기업 이메일 사기는 기술적 해킹과 사회공학적 기법이 결합된 범죄로, 한 번 피해가 발생하면 회수가 극히 어렵습니다. 형사 고소를 통한 범인 처벌과 자산 동결, 민사적 손해배상 청구를 병행하되, 무엇보다 사전 예방 체계를 구축하는 것이 가장 효과적인 대응 방법입니다.
