해상 결제 사기 기법은 진화했습니다. 대다수의 통제 시스템은 그렇지 못합니다.

작성자: Errikos Andreakos, MarTrust(Marcura 계열사) 최고상업책임자(CCO)

증가하는 보안 우려 

CYTUR의 2026 해사 사이버 위협 백서(2026 Maritime Cyber Threat White Paper)에 따르면, 2025년 해사 사이버 공격은 두 배로 증가했습니다. 재무 및 컴플라이언스 부서의 관점에서 볼 때 이러한 광범위한 위협 트렌드 중 가장 즉각적이고 측정 가능한 재무적 리스크는 결제 사기, 특히 비즈니스 이메일 침해(BEC)입니다. 

해운 기업을 표적으로 하는 BEC 및 결제 사기 발생률은 거래 규모 대비 기존 금융권보다 3~5배 더 높습니다. 그 원인은 해운 산업의 독특한 운영 방식에 있습니다. 

해운 산업이 구조적으로 결제 사기에 취약한 이유

해운 업계는 고가치 거래의 비중이 높으면서도, 의사결정은 분산되어 있으며 검증 인프라는 제한적인 특성을 지니고 있습니다. 오랫동안 파트너십을 유지해 온 거래처라 할지라도, 대다수 선사에는 현재 소통하고 있는 상대방이 최초 등록된 검증 파트너와 동일한지 즉각적으로 확인할 수 있는 수단이 결여되어 있습니다. 

익숙함은 경계심을 늦춥니다. BEC 공격은 정확히 이 허점을 파고듭니다. 

사기 리스크 = 노출도 × 검증 공백 × 시간적 압박

대부분의 선사는 초기 파트너 등록 시 송금처 유효성 검증을 수행합니다. 그러나 취약성은 파트너 등록 완료와 실제 결제 집행 사이에 은행 계좌 정보가 변경될 때 발생합니다. 감당할 만한 소액 거래에도 추가 승인을 요구하는 개인 금융 시스템과 달리, 해운 업계는 5자리 수 달러 규모의 고액 결제도 최초 승인 시점에 즉각적으로 집행하는 경우가 많습니다. 

법적 및 상업적 압박은 이러한 리스크를 가중시킵니다. 항만 대리점이 미결제를 이유로 선박을 억류할 경우 체선료가 발생하고 연쇄적인 지연이 이어져, 송장 금액을 훨씬 초과하는 손실로 빠르게 확대될 수 있습니다. 선사들은 이러한 리스크를 방지하고자 선급금(Pre-funding)을 우선 지급하며, 사기 세력은 이러한 역학 관계를 정확히 간파하고 있습니다. 자금이 송금 완료되면 회수는 사실상 불가능합니다. 

한 선사가 85,000달러의 선급금 청구를 수신했습니다. 컴플라이언스 이슈로 인해 은행 계좌 정보가 업데이트되었다는 안내가 포함되어 있었습니다. 선사는 지연을 방지하기 위해 몇 시간 내로 송금을 완료했습니다. 이틀 후, 실제 대리점 측으로부터 대금이 입금되지 않았다는 확인을 받았고 선박은 억류되었습니다. 총 누적 손실액은 250,000달러를 초과했습니다. 

공격 시나리오 분석

일반적인 이메일 시스템을 사용하는 등 비교적 영세하게 운영되는 항만 대리점들은 사기 세력의 손쉬운 표적이 됩니다. 대리점 계정을 해킹하는 데는 그리 고도화된 기술이 필요하지 않습니다. 생성형 툴을 사용해 단 몇 분 만에 승인된 웹사이트와 유사한 도메인을 복제할 수 있으며, 해당 가짜 도메인으로 보낸 그럴듯한 피싱 이메일을 통해 계정 정보를 가로채는 방식이 빈번하게 사용됩니다. 

일단 계정 권한을 확보한 사기꾼은 기회를 엿보며 대기합니다. 

선급금 요청서가 발송되면, 사기꾼은 원본과 거의 구분하기 힘든 유사한 이메일 주소를 생성하여 커뮤니케이션 체인에 개입합니다. 일시적인 은행 이슈 발생, 컴플라이언스 점검, 송금 경로 재지정 요청 등 신뢰할 만한 명분을 제시합니다. 

공격자는 이미 해당 선사의 결제 한도를 정확히 파악하고 있으며 이에 맞춰 정교하게 청구 금액을 조정합니다. 은행은 계좌 명의가 아닌 계좌 번호를 기준으로 송금을 처리하기 때문에 명의 불일치는 감지되지 않은 채 통과됩니다. 

실제 대리점이 후속 확인 절차를 밟을 때쯤이면, 송금된 자금은 이미 여러 국가의 복수 계좌를 거쳐 세탁된 이후입니다. 이 단계에서 자금을 회수하는 것은 불가능에 가깝습니다. 

항만 대리점이 가장 직접적인 경로로 작용하지만, 동일한 보안 취약점은 부품 공급업체, 기술 서비스 제공업체, 정비 협력사 등 선박 관련 모든 거래처 생태계 전반에 걸쳐 존재합니다. 공격 패턴은 동일하며, 피해 결과 또한 마찬가집니다.