저희가 몇 해 전 실제로 본 거래처 사칭 피싱 사례에서 공격자는 악성 링크나 첨부파일 없이, 해외 거래처 B사와 매우 비슷한 도메인과 실제 담당자 이름만으로 한국 기업 A사에 계좌 변경을 요청해 거래대금을 가로챘습니다. 문제의 도메인은 범행 직전이 아니라 약 1년 전에 미리 등록된 것이어서, "최근 생성된 도메인은 위험하다"는 기준으로는 걸러지지 않았습니다. 이 사례가 보여 주는 것은 거래처 사칭 피싱은 메일 한 통이 아니라 기존 이메일 이력과 비교해야 발견된다는 점입니다.
핵심 요약
- A사와 B사는 시차 때문에 대부분의 업무를 이메일로 처리했고, 답을 받기까지 12시간 이상 걸리는 것이 자연스러운 환경이었습니다.
- 공격자는 B사 실제 도메인과 매우 비슷한 도메인에서 실제 담당자 이름으로 계좌 변경을 요청했고, A사가 확인 메일을 보내자 다시 답장하며 정상 업무 대화처럼 이어갔습니다.
- 유사 도메인은 약 1년 전 등록돼 만료를 한두 달 앞둔 시점부터 공격에 쓰였고, 사고 뒤 조사 때는 이미 만료돼 있었습니다.
- 악성코드와 수상한 링크 대신 유사 도메인, 동일한 담당자 이름, 거래 관계에 대한 이해, 계좌 변경 요청, 지속적인 회신이 결합돼 있었습니다.
- 평소 주소
john@companyb.com이 어느 날john@company-b.com으로 바뀌어 계좌 변경을 요청한다면 주의가 필요합니다.
거래처 사칭 피싱은 어떻게 진행됐나
공격자는 실제 거래처의 담당자 이름으로 계좌 변경을 요청하고, 피해 기업의 확인 메일에 계속 답장하며 송금을 받아 냈습니다. 한국 기업 A와 해외 기업 B는 꾸준히 거래하고 있었고, 시차 때문에 대부분의 업무를 이메일로 처리했습니다. 메일을 보내고 답을 받기까지 12시간 이상 걸리는 것이 자연스러운 환경이었습니다.
공격자는 두 회사의 거래 관계와 담당자 정보를 어느 정도 파악하고 있었던 것으로 보입니다. B사의 실제 도메인과 매우 비슷한 도메인을 만들어, 실제 담당자의 이름으로 메일을 보냈습니다. 내용은 간단했습니다.
"거래 계좌가 변경됐으니 앞으로 새로운 계좌로 입금해 달라."
A사 담당자가 확인을 위해 회신하자 공격자는 다시 답장을 보냈습니다. 이후에도 몇 차례 메일이 오가며 정상적인 업무 대화처럼 이어졌고, 결국 A사는 변경된 계좌로 거래대금을 송금했습니다. 그 계좌는 B사의 것이 아니라 공격자가 준비한 계좌였습니다.
공격자는 유사 도메인을 언제 준비했나
약 1년 전에 미리 등록해 두었습니다. 사고 뒤 문제의 이메일 도메인을 조사했을 때는 이미 도메인이 만료된 상태였습니다. 더 특이한 점은 따로 있었습니다. 공격자는 범행 직전에 도메인을 만든 것이 아니라, 약 1년 전에 유사 도메인을 미리 등록해 두었다가 만료를 한두 달 앞둔 시점부터 공격에 사용한 것으로 파악됐습니다.
"최근 생성된 도메인은 위험하다"는 기준만으로는 이런 공격을 발견하기 어렵다는 뜻입니다.
왜 메일 한 통으로는 발견하기 어려웠나
이 공격에는 악성코드도, 수상한 링크도 없었고, 요소 하나하나가 정상 업무처럼 보였기 때문입니다. 대신 다음 요소가 결합돼 있었습니다.
- 실제 거래처와 매우 비슷한 도메인
- 실제 담당자와 동일한 이름
- 기존 거래 관계와 업무 내용에 대한 이해
- 계좌 변경 요청
- 피해자의 질문에 대한 지속적인 회신
요소 하나하나만 보면 정상 업무처럼 보입니다. 하지만 기존 이메일 이력과 비교하면 이상 징후가 드러납니다. 평소 거래하던 주소가 john@companyb.com이었는데 어느 날 john@company-b.com에서 같은 담당자 이름으로 계좌 변경 요청이 온다면 주의가 필요합니다. 그 도메인이 회사와 처음 교신하는 도메인이고, 동시에 송금이나 계좌 변경 내용이 들어 있다면 위험도는 더 높아집니다. 메일 보안 게이트웨이가 왜 이런 메일을 걸러내지 못하는지는 메일 게이트웨이가 BEC 메일을 놓치는 이유 글에서 원리를 설명했습니다.
거래처 사칭을 발견하려면 무엇을 봐야 하나
메일 자체보다 거래 관계의 변화를 봐야 합니다. 기존 거래처와 다른 도메인인지, 처음 등장한 주소인지, 기존 담당자 이름을 그대로 쓰고 있는지, 평소 없던 계좌 변경·송금 요청이 생겼는지를 함께 봐야 합니다. 기업 이메일 보안에서도 "이 메일이 위험한가"만이 아니라 "평소 거래 관계와 비교했을 때 무엇이 달라졌는가"를 확인하는 방식이 중요해지고 있습니다. 이런 비교는 개인 사서함이 아니라 회사 전체의 교신 이력이 있어야 가능하며, 그 차이는 메일함에 AI를 연결하는 두 가지 방법 글에서 다뤘습니다.
저희 MailInsight는 기업에 축적된 메일 데이터를 AI로 분석해 이런 변화와 이상 징후를 찾는 데 초점을 맞춥니다. 과거에 누구와 어떤 주소로 거래했는지, 처음 등장한 도메인인지, 기존 거래처와 비슷한 주소인지, 계좌 변경이나 송금 요청처럼 평소와 다른 내용이 등장했는지를 함께 분석합니다. 한 통의 메일이 아니라 오랜 기간 쌓인 메일과 거래 관계를 기준으로 이상한 변화를 찾아 피싱 가능성을 알리는 것이 MailInsight의 접근입니다.
자주 묻는 질문
Q. 거래처에서 계좌 변경 메일을 받으면 무엇을 확인해야 하나요?
보낸 주소의 도메인이 기존에 교신하던 도메인과 같은지 먼저 확인합니다. 담당자 이름은 같은데 도메인이 처음 보는 것이거나 기존 도메인과 한 글자만 다르다면 위험 신호이고, 거기에 송금이나 계좌 변경 내용이 들어 있다면 위험도는 더 높아집니다. 이 사례처럼 공격자는 확인 메일에도 계속 답장하므로, 메일 회신만으로 확인을 끝내지 않는 것이 중요합니다.
Q. 최근에 만들어진 도메인만 주의하면 되나요?
아닙니다. 이 사례의 공격자는 약 1년 전에 유사 도메인을 미리 등록해 두었다가 만료를 한두 달 앞둔 시점부터 공격에 사용했습니다. 도메인 생성 시점만으로는 걸러지지 않으므로, 우리 회사와 처음 교신하는 도메인인지, 기존 거래처 도메인과 비슷한지를 과거 메일 이력과 비교해 봐야 합니다.
Q. 이런 피싱은 메일 보안 게이트웨이로 막을 수 있나요?
메일 한 통만 검사하는 게이트웨이로는 어렵습니다. 이 사례에는 악성코드도 수상한 링크도 없었고, 요소 하나하나가 정상 업무 메일처럼 보였습니다. 게이트웨이는 그대로 두되, 회사에 쌓인 과거 메일과 거래 관계를 기준으로 평소와 달라진 점을 찾는 분석을 함께 두어야 합니다.
