LS증권 수십억 사고 계기…'가짜 이메일' 금융권 비상
거래처 사칭·계좌 변경 요구 급증…"전화 한 통이 피해 막는다"
용인신문 | "평소 거래하던 이메일이라 의심하지 않았다." 이 한마디가 수십억원대 금융사고의 시작이었다.
최근 LS증권에서 외국인 투자자의 거래 지시를 가장한 이메일을 믿고 주식 매매와 현금 인출을 처리했다가 거액의 피해가 발생한 사건은 국내 금융권에 새로운 경고음을 울리고 있다. 회사 전산망이 해킹된 것이 아니라 담당자가 정상적인 이메일로 착각한 것이 사고의 출발점이었다.
이번 사건은 단순한 증권사 사고가 아니다. 사이버 범죄의 중심축이 '시스템 해킹'에서 '사람을 속이는 해킹'으로 빠르게 이동하고 있음을 보여주는 대표적인 사례라는 평가가 나온다.
과거 해커들은 악성코드를 심거나 서버를 공격해 시스템을 무력화하는 데 집중했다. 그러나 최근에는 거래처나 고객의 이메일 계정을 탈취하거나 비슷한 주소를 만들어 담당자를 속이는 '비즈니스 이메일 침해(BEC·Business Email Compromise)' 수법이 급속히 확산되고 있다.
특히 금융권에서는 이메일 한 통이 거액의 자금 이동으로 이어질 수 있는 만큼 피해 규모도 일반 피싱보다 훨씬 크다.
실제로 금융감독원은 최근 금융투자업계에 이메일을 통한 거래 지시를 처리할 경우 발신 주소와 거래 내용, 고객 정보를 반드시 교차 확인하도록 내부통제 강화를 주문했다. 최근 다른 증권사에서도 해킹된 이메일에 속아 거래를 진행하다 출금 직전에 이상 징후를 발견해 피해를 막은 사례가 있었던 것으로 알려졌다. 이번 LS증권 사고는 이러한 위험이 현실화된 사례로 받아들여지고 있다.
금융권만의 이야기도 아니다.
기업에서는 거래처를 사칭해 "대금 입금 계좌가 변경됐다"는 이메일을 보내 수억원을 가로채는 사건이 꾸준히 발생하고 있다. 해외에서는 최고경영자(CEO)를 사칭해 회계 담당자에게 긴급 송금을 지시하거나, 거래처 이메일을 탈취해 계약금을 다른 계좌로 입금하도록 유도하는 수법으로 수백억 원의 피해가 발생한 사례도 잇따르고 있다.
이들 범죄의 공통점은 화려한 해킹 기술보다 '신뢰'를 이용한다는 것이다. 실제 이메일 계정을 탈취하거나 주소를 교묘하게 바꿔 평소 거래하던 상대처럼 꾸민 뒤 "오늘 안에 처리해 달라", "보안상 외부에 알리지 말라"는 식으로 담당자의 판단을 흐리게 만든다.
생성형 인공지능(AI)의 등장으로 이메일 문장까지 자연스러워지면서 일반인은 물론 기업 직원도 진위를 구별하기가 갈수록 어려워지고 있다는 것이 보안 전문가들의 설명이다.
전문가들은 대부분의 이메일 기반 금융사기는 몇 가지 기본 원칙만 지켜도 막을 수 있다고 강조한다.
우선 계좌 변경이나 거액 송금, 현금 인출 요청이 들어오면 이메일만 믿지 말고 기존에 알고 있던 전화번호로 반드시 사실 여부를 확인해야 한다. 메일에 적힌 연락처가 아니라 기존 연락처를 이용하는 것이 중요하다. 첨부파일이나 인터넷 주소(URL)는 거래처에서 보낸 메일이라도 무심코 클릭하지 말고, 발신 주소의 철자가 평소와 다른 부분은 없는지 꼼꼼히 확인해야 한다.
금융회사 역시 이메일만으로 거래를 승인하는 관행에서 벗어나 추가 인증과 다단계 확인 절차를 의무화해야 한다는 지적이 나온다.
사이버 보안 전문가들은 "예전에는 컴퓨터를 해킹했지만 이제는 사람을 해킹하는 시대"라며 "10초만 더 확인하는 습관이 수십억원의 피해를 막는 가장 강력한 보안 시스템이 될 수 있다"고 말했다.
