반응형
오늘날 기업을 위협하는 가장 치명적인 사이버 범죄는 무엇일까요? 거창한 시스템 해킹 기술이 아닙니다. 평소 협력업체나 내부 임직원과 주고받던 '이메일'을 교묘하게 위장해 수억 원에서 수십억 원의 대금을 가로채는 비즈니스 메일 침해(BEC, Business Email Compromise) 공격이 매년 급증하고 있습니다.
보안 시스템을 잘 갖춘 대기업조차 허무하게 뚫리는 BEC 해킹, 그 교묘한 수법과 우리 회사를 지키기 위한 필수 방어 전략을 철저히 분석해 드리겠습니다.
1. 비즈니스 메일 해킹(BEC)이란?
BEC는 해커가 기업의 거래처나 최고경영자(CEO) 등을 사칭하여 임직원을 속이고, 무역 대금을 사기 계좌로 송금하게 만들거나 기업 기밀 정보를 탈취하는 범죄 행위입니다.
일반적인 스팸 메일처럼 무작위로 발송되는 것이 아니라, 타겟 기업의 거래 관계, 담당자 이름, 직급, 심지어 휴가 일정까지 미리 파악한 뒤 가장 속기 쉬운 타이밍을 노려 정밀 타게팅하는 것이 특징입니다.
2. 해커들이 주로 사용하는 3대 교묘한 수법
1) 유사 도메인 생성 (Look-alike Domain)
가장 흔한 방식입니다. 정상 도메인과 육안으로 구별하기 어려운 가짜 도메인을 등록해 메일을 보냅니다.
- 정상 주소: manager@partner.com
- 사칭 주소: manager@partener.com (알파벳 e 슬쩍 추가)
- 사칭 주소: manager@pаrtner.com (알파벳 'a' 대신 모양이 같은 키릴 문자 사용)
2) 내부 임직원(CEO) 사칭
CEO나 재무 담당 임원의 계정을 사칭(또는 실제 해킹)하여 하위 직원에게 급박한 지시를 내립니다.
"지금 극비리에 진행 중인 프로젝트 계약 건이 있으니, 아래 계좌로 30분 내에 긴급 송금하고 보안을 유지해 주세요."
3) 실제 거래처 메일함 해킹 (포워딩 규칙 설정)
가장 무서운 수법입니다. 해커가 거래처 담당자의 메일 계정을 먼저 해킹한 뒤, 메일함 설정에 "특정 단어(인보이스, 결제, 대금 등)가 포함된 메일은 해커의 메일로 자동 전달(Forwarding)"하는 규칙을 몰래 심어둡니다. 거래 흐름을 지켜보던 해커는 대금 결제 직전에 위조된 인보이스를 보냅니다.
3. 기업이 반드시 도입해야 할 '메일 보안 3대 인증' (SPF, DKIM, DMARC)
기술적으로 사칭 메일을 걸러내기 위해 기업의 메일 서버(DNS)에 반드시 등록해야 하는 3대 글로벌 보안 표준이 있습니다. 우리 회사 메일 시스템에 이 설정들이 적용되어 있는지 IT 관리자에게 꼭 확인해 보세요.
| 보안 기술 | 풀네임 | 핵심 역할 (쉽게 이해하기) |
| SPF | Sender Policy Framework | "우리 회사는 지정된 IP 주소에서만 메일을 보냅니다"라고 전 세계에 선언하여 사칭 발송을 막는 기술 |
| DKIM | DomainKeys Identified Mail | 발송하는 메일에 디지털 암호화 서명을 첨부하여, 이동 과정에서 메일 내용이 변조되지 않았음을 증명하는 기술 |
| DMARC | Domain-based Message Authentication | SPF와 DKIM을 통과하지 못한 '짝퉁 사칭 메일'을 발견했을 때, 수신 거부하거나 차단하도록 명령하는 최종 관문 |
4. 메일 해킹 예방을 위한 기업 행동 수칙
시스템이 아무리 좋아도 메일을 열어보는 '사람'이 속으면 무용지물입니다. 사내 게시판에 공유하면 좋은 3가지 수칙입니다.
- ① 결제 계좌 변경 시 반드시 '유선' 교차 검증
- 거래처에서 "이번에 계좌가 변경되었으니 이쪽으로 송금해 주세요"라는 메일을 받았다면, 절대 메일로 답장하지 말고 기존에 알고 있던 담당자의 전화번호로 직접 전화해 사실을 확인해야 합니다.
- ② 다중 인증(MFA / 2차 인증) 필수 적용
- 회사 메일 로그인 시 아이디/비밀번호 외에 스마트폰 OTP나 인증 앱을 통한 2차 인증을 무조건 의무화해야 합니다. 계정 유출로 인한 2차 피해를 99% 막을 수 있습니다.
- ③ 외부 메일 알림 표시(External Tag) 활성화
- 사내 메일 시스템 설정을 통해 외부에서 들어오는 모든 메일 제목이나 본문 상단에 [외부메일]이라는 경고 태그가 붙도록 설정합니다. 내부 임직원을 사칭한 메일을 쉽게 구분할 수 있습니다.
💡 포스팅을 마치며
비즈니스 메일 해킹(BEC)은 기술적 취약점이 아니라 '인간의 심리와 비즈니스 프로세스의 허점'을 파고드는 공격입니다. "우리 회사는 괜찮겠지"라는 안일한 생각이 거대한 금전적 손실로 돌아올 수 있습니다. 지금 바로 사내 메일 보안 설정을 점검하고 임직원 보안 교육을 실시해 보세요!
반응형
'메일' 카테고리의 다른 글
| 이메일 마케팅, 아직도 수동으로 보내시나요? 대량발송·자동화가 필요한 진짜 이유 (0) | 2026.06.24 |
|---|---|
| 우리 회사 메일이 왜 자꾸 스팸함으로 갈까? 🤔 원인과 해결법 총정리 (0) | 2026.06.23 |
| 회사 이메일, 이렇게 위험했어? 스팸스나이퍼로 한 방에 해결하기 (3) | 2026.06.23 |
| 아웃룩(Outlook)과 지메일(Gmail) 연동 방법 완벽 가이드 (3) | 2026.06.22 |
| 비즈니스 메일 작성법 & 제목 짓기 (0) | 2026.05.17 |