해외 파트너의 계좌 변경 요청: 송금 전 독립 확인 절차

여는 답변: 송금을 멈추고, 이메일 밖에서 확인한다

해외 CDMO에 내일 선수금을 보내야 하는데, 전날 저녁 거래처 담당자 이름으로 ‘은행 계좌가 바뀌었으니 이번 인보이스부터 새 계좌로 보내 달라’는 이메일이 왔다. 발신 주소와 서명, 인보이스 양식은 몇 달째 주고받던 것과 같아 보인다. 그렇다면 이메일에 적힌 전화번호로 확인하면 될까? 답은 ‘아니다’다. 송금을 보류하고, 변경 요청이 오기 전부터 갖고 있던 연락처로 우리가 직접 전화해 확인한 뒤, 담당자와 결재권자 두 사람이 승인 기록을 남기고 나서야 송금한다. 라이선스 계약금과 마일스톤, CRO 착수금, 원료의약품 대금처럼 지급일이 계약으로 정해진 송금일수록 이 순서를 지켜야 한다.

이메일 무역사기(BEC, Business Email Compromise)는 사회공학이나 컴퓨터 침입으로 업무용 통신 수단을 장악해 무단 송금을 일으키는 사기다. FBI 인터넷범죄신고센터(IC3)는 2025년 연례보고서에서 범죄자가 이메일 계정뿐 아니라 전화번호와 화상회의 앱까지 장악한다고 설명한다. 금융감독원이 공개한 국내 사례도 대부분 실제 거래처와 주고받던 이메일을 해킹한 뒤 거래처인 척 ‘대금 지급계좌가 변경됐다’는 허위 메일과 위조 인보이스를 보내는 방식이었다. 두 기관의 권고는 같은 방향을 가리킨다. 금융감독원은 결제계좌가 기존 거래계좌와 다르면 해외거래처에 직접 연락해 재확인한 뒤 송금하라고 안내하고, IC3는 이메일 요청에 적힌 번호가 아니라 이전부터 알고 있던 번호로 전화해 확인하라고 권고한다.

왜 계좌 변경 메일이 여전히 통하는가: 한국·미국 피해 데이터

라이프사이언스 기업의 해외 송금은 이 수법에 잘 들어맞는다. 라이선스 계약금과 마일스톤, CDMO 생산 예약금, 임상 착수금, 원료 구매 대금은 한 번에 보내는 금액이 크고, 지급 시점이 매달 일정하지 않고 계약 일정에 따라 정해진다. 송금 담당자는 상대 회사의 회계나 거래 은행 사정을 속속들이 알기 어렵기 때문에 ‘이번 건부터 계좌가 바뀐다’는 설명을 그럴듯하게 받아들이기 쉽다.

금융감독원이 2025년 9월 발표한 집계를 보면 2021년부터 2025년 상반기까지 국내 은행 송금을 통해 발생한 외환 무역사기 피해는 1,591건, 약 9,600만 달러(약 1,330억 원)다. 이 가운데 이메일 해킹 유형이 1,518건(건수 기준 95.4%), 약 9,100만 달러(금액 기준 94.5%)로 대부분을 차지했고, 나머지 73건(약 500만 달러)은 인증비·등록비 등을 명목으로 한 수수료 사기였다. 피해 건수는 2021년 438건에서 2023년 314건까지 줄었다가 2024년 329건으로 다시 늘었고, 2025년 상반기에만 176건이 확인됐다. 2024년 피해 금액은 전년보다 104% 늘었는데, 금감원은 회수가 완료된 거액 2건(1,170만 달러)을 빼면 증가율이 27%로 낮아진다고 함께 밝혔다. 같은 2건을 제외한 건당 평균 피해액은 2021~2023년 평균 5만 달러에서 2024~2025년 상반기 평균 6만 1천 달러로 커졌다.

IC3 수치는 규모가 다르지만 같은 방향을 보여 준다. 2025년 IC3에 접수된 BEC 신고는 24,768건, 손실액은 3,046,598,558달러로 2024년(21,442건, 2,770,151,146달러)과 2023년(21,489건, 2,946,830,270달러)보다 많았다. BEC 신고에 보고된 피해 거래 방식의 86%는 전신송금과 ACH 이체였다. IC3는 모든 BEC가 AI를 쓰는 것은 아니라고 전제하면서도, 챗봇으로 그럴듯한 공식 이메일을 만들고 음성 복제로 송금을 요청하는 수법을 소개했고 2025년 AI가 결합된 BEC로 기업들이 3,000만 달러가 넘는 손실을 신고했다고 밝혔다. 목소리까지 흉내 낼 수 있다면 콜백은 ‘상대가 걸어온 전화’가 아니라 ‘우리가 알고 있던 번호로 우리가 건 전화’여야 한다.

자금 흐름도 단서가 된다. 금감원 집계에서 피해 금액의 24%는 수취인 국적과 수취계좌 은행의 국적이 달랐고, 특히 수취인은 다른 나라인데 아랍에미리트나 포르투갈 계좌가 쓰인 경우가 많았다. 베트남·아랍에미리트·포르투갈의 피해 금액 비중은 2021~2022년 2.7%에서 2023년~2025년 상반기 11.9%로 커졌다. IC3의 2024년 공익 경보도 영국과 홍콩의 은행이 중간 경유지로 자주 쓰였고, 이어 중국·멕시코·UAE로 자금이 이동했다고 분석했다. 다만 이 숫자를 거꾸로 읽으면 피해 금액의 76%는 수취인과 계좌 은행의 국가가 같았다는 뜻이다. 국가 불일치는 강한 경고 신호지만, 국가가 같다는 사실이 안전하다는 근거가 되지는 않는다.

공격 시나리오 읽는 법: 위조 인보이스, 긴급성, 비밀 유지, 국적 불일치 계좌

사기 수법은 생각보다 정형화되어 있다. 금감원이 공개한 사례 두 건과 IC3가 정리한 전형적 패턴을 함께 보면, 결제 담당자가 어느 지점에서 멈춰야 하는지가 드러난다.

공개 사례로 본 세 가지 패턴

첫째, 오래 거래한 거래처일수록 의심이 늦다. 금감원이 공개한 사례에서 국내 수입업체 A사는 스페인 수출업체와 6년 동안 거래해 왔다. 사기집단은 두 회사 사이의 이메일을 해킹한 뒤 A사에 은행 계좌가 포르투갈 은행으로 바뀌었다는 메일을 보냈고, A사가 변경된 계좌로 보낸 물품 대금(2만 5,665달러)을 가로챘다. 사기집단은 여기서 멈추지 않고 ‘은행 문제로 인출할 수 없으니 다시 송금해 달라’고 연락했다. A사가 다른 경로로 스페인 업체에 문의하고 나서야 상대가 계좌를 바꾼 적도, 대금을 받은 적도 없다는 사실이 드러났다. 다른 경로로 한 번 확인하자 곧바로 사기가 드러났다. 첫 송금 전에 같은 확인을 했다면 피해 자체를 막을 수 있었다.

둘째, 발신 주소는 ‘비슷해 보이는 것’으로 충분하다. 헝가리에서 구스다운을 수입하던 B사는 평소 거래하던 헝가리 은행 대신 미국 은행으로 수취계좌를 바꿔 달라는 메일을 받았다. 정상 주소는 거래처의 헝가리 도메인을 쓰는 주소였지만, 사기 메일은 그 도메인 문자열을 앞부분에 끼워 넣은 mail.com 주소였다. B사는 주소 차이도, 헝가리 회사가 갑자기 미국 계좌를 쓰는 이유도 의심하지 않고 16만 3,000달러를 보냈다가 돌려받지 못했다. IC3가 특히 휴대전화에서 발신 주소 전체를 확인하고, 전체 이메일 주소가 보이도록 설정하라고 권고하는 이유다.

셋째, 비밀 유지와 시간 압박이 함께 온다. IC3는 오랜 공급업체 관계를 이용해 인보이스 대금을 다른 사기 계좌로 보내게 하는 수법을 ‘인보이스 변경’ 시나리오로 정리하고, 비밀 유지 요구나 빨리 처리하라는 압박을 경계하라고 권고한다. 라이프사이언스 거래에 대입하면 ‘CDMO 생산 예약금을 오늘 안에 새 계좌로 보내지 않으면 일정이 밀린다’거나 ‘내부 감사 중이니 다른 담당자에게는 알리지 말라’는 식이다. 일정 지연을 걱정하는 담당자가 확인 절차를 건너뛰게 만드는 것이 목적이다.

독립 확인 절차: 알고 있던 번호로 콜백하는 5단계

계좌 변경 요청에 대한 대응은 담당자 개인의 감이 아니라 미리 정한 절차여야 한다. 원칙은 하나다. 변경 요청 메일 밖에서, 요청 이전부터 갖고 있던 경로로 거래처 확인을 마칠 때까지 새 계좌로는 송금하지 않는다.

flowchart TD
    A["계좌 변경 통보 수신"] --> B["1단계: 해당 건 송금 보류"]
    B --> C["2단계: 요청 이전부터 보유한 연락처 확보"]
    C --> D{"연락처 출처가 요청 메일인가?"}
    D -- "예" --> E["사용 금지: 계약서·과거 서신·거래처 마스터에서 다시 찾기"]
    E --> C
    D -- "아니오" --> F["3단계: 우리가 건 전화·영상 통화로 콜백"]
    F --> G["4단계: 은행 소재국·수취인 명의 대조"]
    G --> H{"거래처가 변경 사실을 확인했는가?"}
    H -- "확인됨" --> I["5단계: 확인자·결재권자 이중 승인 기록 후 송금"]
    H -- "부인 또는 불명확" --> J["5단계: 송금 취소, 이메일 외 경로로 거래처 통보, 메일 원본 보존"]

가장 자주 무너지는 곳은 2단계와 3단계다. IC3의 2016년 공익 경보는 전화로 확인할 때 ‘이메일 요청에 적힌 번호가 아니라 이전부터 알고 있던 번호(previously known numbers)’를 쓰라고 명시하고, 이런 확인 경로는 거래 관계 초기에 이메일 환경 밖에서 미리 정해 두라고 권고한다. 2024년 경보와 IC3 BEC 안내 페이지도 계좌 정보 변경 요청은 보조 채널이나 2단계 인증으로 검증하라고 적는다. D&B Korea의 실무 정리 역시 이메일에 적힌 번호가 아니라 계약서나 공식 홈페이지 등 독립된 경로로 확인한 번호로 전화나 영상 통화를 하라고 조언한다. 월간 통상(2019) 실무 분석은 송금자가 시차, 영어 실력 부족, 수출자 컴퓨터가 해킹됐다는 점을 들어 면책을 주장해도 적절한 항변 사유가 아니라고 본다. 실무적으로는 확인에 실패한 부담이 송금한 쪽에 남을 수 있다는 뜻이다. 그래서 연락처는 변경 요청이 온 뒤에 찾을 것이 아니라, 신규 거래처를 등록할 때 계약서와 함께 확보해 두어야 한다.

송금 승인 기록: 남길 필드와 이중 승인

콜백 결과는 구두 보고로 끝내지 말고 서면으로 남긴다. 기록의 목적은 ‘누가, 언제, 어떤 경로로, 누구와 무엇을 확인했는가’를 나중에 다른 사람이 재현할 수 있게 하는 것이다. 확인한 사람과 승인한 사람은 서로 달라야 한다.

IC3 2016년 경보는 거래처 지급 위치 변경을 사내 인력의 2차 서명 같은 추가 인증으로 확인하라고 권고하고, D&B Korea의 실무 정리도 계좌 변경과 고액 송금은 담당자 한 명이 아니라 두 사람이 확인하도록 사내 절차로 만들라고 조언한다. 아래 항목은 이를 송금 승인 기록으로 옮긴 것이다. 계좌번호와 연락처는 기록에서도 일부만 남기고, 원본 자료는 접근 권한을 제한한 곳에 따로 보관한다.

계약과 시스템으로 못 박기: 계좌 변경 개정 조항, 2단계 인증, 자가진단

개인의 주의력에만 기대는 통제는 마감과 휴가, 시차가 겹치는 날 무너진다. 그래서 확인 절차를 계약, 메일 환경, 외부 점검 도구에 미리 심어 두어야 한다.

1. 계약서에 계좌 변경 절차 넣기

월간 통상(2019)의 실무 Q&A는 은행 정보나 담당자를 변경할 때는 계약서를 개정한다는 조항을 넣으라고 권고한다. 법적 요건이 아니라 2019년 기고에 바탕을 둔 실무 관행이지만, 라이선스 계약, 공급 계약, CDMO 계약의 지급 조항에 반영해 둘 만하다. 아래는 그 취지를 옮긴 예시 문안이며, 실제 계약에 쓰기 전에는 준거법과 상대방 사정을 고려한 법무 검토가 필요하다.

“본 계약에 따른 대금은 별첨에 기재된 지급 계좌로만 지급한다. 지급 계좌의 변경은 양 당사자의 권한 있는 서명자가 서명한 서면 변경 합의에 의해서만 효력이 있으며, 이메일이나 인보이스 기재 변경만으로는 효력이 없다.”

이런 조항이 있으면 결제 담당자는 ‘서명된 변경 합의가 오기 전에는 새 계좌로 보낼 수 없다’고 거래처에 설명할 근거를 갖게 된다. 마일스톤이나 생산 예약금처럼 기한이 엄격한 지급이라면, 계좌 확인에 걸리는 기간의 지급 지연을 어떻게 볼지도 계약 협상 때 함께 정해 두면 마감 압박을 줄일 수 있다. 대금을 받는 쪽이라면 거꾸로 활용한다. 신규 파트너에게 ‘우리는 이메일만으로 계좌를 바꾸지 않는다’고 계약 초기에 알리고 콜백용 번호를 서면으로 넘겨 두면, IC3가 권고한 ‘관계 초기에 이메일 밖에서 정해 두는 확인 경로’가 양쪽에 생긴다. 금감원 사례처럼 사기 사실은 보통 거래처가 대금을 받지 못했다고 알려 올 때 드러나므로, 받는 쪽도 입금 대사를 미루지 않아야 한다. 보고서와 입금액을 맞춰 보는 절차는 해외 로열티 환율: 매출 보고서와 입금액 대사에서 정리했다.

2. 메일 계정과 수신 환경 점검

IC3가 2024년 경보와 BEC 안내 페이지에서 제시하는 예방 수칙은 메일 환경 점검표로 바로 쓸 수 있다. 계좌 정보 변경 요청은 보조 채널이나 2단계 인증으로 확인하고, 온라인 서비스마다 다른 비밀번호를 쓰며, 이메일 속 URL이 실제 그 기업의 것인지, 도메인 철자를 비튼 링크는 아닌지 살핀다. 로그인 정보나 개인정보는 이메일로 보내지 않고, 특히 휴대전화에서는 발신 주소를 직접 확인하며, 컴퓨터 설정에서 전체 이메일 주소가 보이도록 한다. 2016년 경보는 여기에 더해 회사 도메인과 비슷한 도메인에서 온 메일을 표시하는 탐지 규칙을 만들고, 업무 메일에는 ‘회신’ 대신 ‘전달’을 눌러 알고 있는 주소를 직접 입력하라고 권고한다. 다만 거래처 쪽 메일이 해킹된 경우에는 우리 쪽 보안 설정만으로 막을 수 없다. 이 점검은 콜백 절차를 대신하지 못하고 보완할 뿐이다.

3. 공공 자가진단과 상담 창구

한국무역보험공사(K-SURE)는 무역보험 빅데이터 플랫폼 K-Sight에서 안심거래 자가진단 서비스를 운영한다. 금감원 설명에 따르면 거래 상대방 소재국·업종·물품 같은 기초정보와 질문 답변을 입력하면 AI를 활용해 사기거래 의심 유형과 위험도를 보여 주며, 질문에는 ‘메일을 통하여 결제계좌 변경을 요청하는 등 해킹이 의심되는 정황이 있나요?’ 같은 항목이 들어 있다. K-Sight 안내 역시 갑자기 계좌번호가 바뀌었다며 다른 계좌로 송금을 유도하는 것을 이메일 무역사기의 전형적인 패턴으로 설명한다. 상담 창구로는 KOTRA 무역사기 상담(1600-7119, 연결 후 2→6번)과 무역투자24 온라인 상담(무역 → 무역분쟁 → 무역사기/분쟁 문의)이 있고, K-SURE(1588-3884)는 해외 바이어의 신용정보와 재무 상태를 조사하는 국외기업 신용조사를 제공한다. KOTRA는 2026년판 무역사기 예방 및 대응 매뉴얼도 공개하고 있다. 다만 자가진단과 신용조사는 거래 상대가 믿을 만한 회사인지 보는 도구이지, 지금 받은 계좌 변경 메일이 진짜인지 판정해 주지는 않는다. 그 판정은 콜백으로 한다.

이미 송금했다면: 첫 1시간 대응 순서

새 계좌로 이미 송금했다면 그때부터는 속도가 가장 중요하다. 금감원은 사기 사실을 인지한 즉시 거래은행에 지급정지 등을 요청하고 코트라(무역투자24)와 경찰청에 신고하라고 안내하고, IC3도 사기 송금을 발견하면 시간이 가장 중요하다며 즉시 금융기관에 연락하라고 강조한다. 아래 순서는 금감원과 IC3의 안내, D&B Korea의 실무 정리를 하나로 합친 것이다.

첫 연락은 송금한 거래은행이다. IC3는 사기 송금을 발견하면 즉시 금융기관에 연락해 송금 회수(recall)와 필요한 보상 관련 서류를 함께 요청하라고 하면서, 금융기관마다 정책이 다르므로 거래은행이 회수를 위해 어떤 지원을 하는지 알아 두라고 권고한다. IC3 BEC 안내 페이지는 이 서류를 Hold Harmless Letter 또는 Letter of Indemnity로 표현하고, 2016년 경보는 사기 송금이 도착한 상대 금융기관에 연락해 달라고 거래은행에 요청하라고 적는다. 사고 당일에 절차를 처음 알아보면 시간이 걸리므로, 평소 거래은행 외환 담당 부서에 사기 송금 회수 절차와 필요 서류를 미리 물어 두는 것이 좋다.

미국 은행을 거쳤거나 미국 계좌로 보낸 경우에는 ic3.gov에도 신고하고, 은행 연락 직후 바로 진행한다. IC3는 금액과 관계없이 신고하고 거래 세부 정보를 빠짐없이 적으라고 하며, 금융기관과 수사기관의 자금 동결을 도울 수 있다고 설명한다. IC3 자산회수팀(Recovery Asset Team)의 금융사기 차단 절차(Financial Fraud Kill Chain)는 2025년 3,900건, 피해 시도액 약 11억 6,392만 달러에 대해 가동돼 약 6억 7,901만 달러를 동결했고 성공률은 58%였다. 이 가운데 해외 계좌를 대상으로 한 절차는 326건, 동결액은 약 1억 7,197만 달러였다. 동결은 회수와 같지 않고, 이 절차에서도 피해 시도액의 40% 이상은 동결하지 못했다.

한계와 주의: 회수율, 보험 면책, 데이터의 경계

계좌 변경 사기에서 가장 위험한 기대는 ‘사고가 나도 나중에 돌려받거나 보험으로 메울 수 있다’는 생각이다.

• 회수는 예외에 가깝다: 금감원은 외환 무역사기는 국경 간 거래의 특성상 해외송금 후에는 피해 금액 회수가 어렵다고 밝혔고, 피해업체는 상당 기간이 지난 뒤 거래처의 미입금 통지 등으로 사기를 알게 돼 돌려받지 못하는 경우가 대부분이라고 설명했다. IC3의 동결 성공률 58%는 신속히 신고된 IC3 절차의 결과일 뿐, 국내 기업의 일반적인 회수율로 읽어서는 안 된다.

• 무역보험은 보상 수단이 아니다: K-SURE 자가진단 안내는 명의도용이 무역보험 면책 사유에 해당해 심각한 피해를 낳을 수 있다고 경고한다. 계좌 변경 사기를 보험으로 메울 수 있다고 가정하지 말고, 개별 보험의 보상 범위는 보험사에 직접 확인해야 한다. 미수금과 운송 파손처럼 보험이 실제로 다루는 위험은 유통사 미수금과 운송 파손: 신용보험과 적하보험 청구 기준에서 따로 정리했다.

• 은행 안내는 보조 장치다: 금감원에 따르면 은행은 사기가 의심되는 송금에 유의사항을 안내하고 있으며, 은행권은 신규 계좌, 수취인과 수취계좌의 국가 불일치, 과거 사기 계좌 같은 모니터링 기준을 정비하고 위험도가 높으면 송금 절차를 일시 중단할 수 있도록 하기로 했다. 그래도 거래처의 실제 계좌가 무엇인지 확인할 수 있는 것은 송금하는 회사뿐이다.

• 데이터의 경계: 금감원 통계는 은행을 통해 접수된 피해만 담으므로 신고되지 않은 피해는 빠져 있다. 2024년 +104%에는 회수된 거액 2건이 포함돼 있고, 건당 평균 6만 1천 달러는 그 2건을 뺀 수치다(KBS 보도는 이 단서 없이 평균만 전했다). IC3 통계는 미국 중심의 신고 기준이라 국내 피해 규모와 직접 비교할 수 없고, IC3 2016년 경보는 확인 절차 권고만 인용했을 뿐 당시 통계는 쓰지 않았다.

• 법률 자문이 아니다: 이 글은 송금 전 확인과 내부통제 절차를 안내하는 실무 지침이다. 실제 분쟁과 손실 분담은 계약과 준거법에 따라 달라지므로, 사고가 나면 변호사와 수사기관의 도움을 받아야 한다.