이메일로 침투하는 해상 AP(매입채무) 결제 사기, 현행 워크플로우의 대부분이 이를 필터링하지 못하고 있습니다.

본 기사는 해상 조달 및 대금 결제(Procure-to-Pay) 워크플로우 내 통제 격차를 해소하는 방법에 대한 연재 시리즈 중 일부입니다.(총 7부작 중 6부)

해운 AP(매입채무) 프로세스에서 공급업체 은행 계좌 변경 사기는 어떻게 발생합니까?

공급업체 은행 계좌 변경 사기는 기존에 거래하던 공급업체의 은행 정보 변경을 요청하는 허위 이메일에서 시작됩니다. 대다수의 해운 AP 워크플로우가 공급업체 등록 시점에만 은행 정보를 최초 검증하고 정보 변경 요청 시에는 추가 재검증을 필수로 수행하지 않는다는 허점을 악용하는 것입니다. 실제 공급업체가 미납 사실을 인지하여 신고하기 전에 대금은 이미 위조된 계좌로 송금됩니다. 이러한 사기 피해의 회수율은 매우 낮으며, 손실액의 75% 이상을 회수한 기업은 전체의 25% 미만에 불과합니다.

일회성에 그치는 공급업체 온보딩(등록) 검증 Process

대부분의 해운 AP 팀은 초기 온보딩 통제 프로세스를 갖추고 있습니다. 공급업체는 검증 프로세스를 거치고, 은행 계좌 정보가 기록되며, 준법 감시 프레임워크가 정상 작동하는 것처럼 보입니다. 그러나 핵심 문제는 특정 대금 송금이 집행되는 바로 그 시점에도 이 통제 장치가 유효하게 작동하고 있는가 하는 점입니다.

안타깝게도 유효하지 않은 경우가 대부분입니다.

공급업체 온보딩은 실제 대금 결제가 발생하기 수개월 또는 수년 전에 이루어집니다. 은행 정보는 설정 단계에서 단 한 번 검증되어 저장됩니다. 송장 승인 워크플로우와 대금 결제 집행 워크플로우가 동일한 컴플라이언스 데이터 레이어를 공유하지 않을 수 있다는 점이 맹점입니다. 대금 결제 지시서가 생성되는 시점에는 이미 검증 작업이 끝난 상태입니다. 시스템은 단지 승인된 송장이 존재하는지만을 확인할 뿐입니다.

사기꾼들이 노리는 시스템적 사각지대

공급업체 은행 계좌 변경 사기는 최초 검증 수행 시점과 실제 대금 송금 시점 사이의 공백(Gap)을 영리하게 악용합니다. 기존 거래 업체의 정보를 도용하여 정교하게 위장된 이메일로 은행 정보 변경을 요청하면 절차상 변경이 그대로 처리됩니다. 이후 다음 대금 송금은 해당 허위 계좌로 집행됩니다. 정당한 권한을 가진 실제 공급업체가 대금 미수령을 신고할 때쯤엔 이미 자금이 인출되어 사라진 후입니다.

 미국 외교안보 및 수사 기관인 FBI 산하 인터넷범죄신고센터(IC3)의 자료에 따르면, 2023년까지 지난 10년간 비즈니스 이메일 침해(BEC)로 인한 피해 누적액은 550억 달러를 넘어섰습니다. 또한 AFP의 2025년 결제 사기 설문조사에 따르면, 2024년 기업의 79%가 결제 사기 시도 또는 실제 사기 피해를 경험했으며, 그 중 63%가 비즈니스 이메일 침해(BEC) 피해자였습니다. 특히 해상 공급업체 거래에서 가장 널리 쓰이는 결제 방식인 wire transfer(전신송금)가 주요 표적이 되었습니다. 피해 기업 중 사기 손실액의 75% 이상을 회수한 곳은 단 22%에 불과했습니다.

마커라(Marcura)의 자체 조사에 따르면, 거래량을 조정 분석한 결과 해상 송금 사기율은 일반 금융 결제 대비 3~5배 더 높은 것으로 나타났습니다. 높은 거래 대금 규모, 분산된 컴플라이언스 구조, 대금 결제 주기 간의 긴 공백 기간 등이 결합되어 해상 운송 분야는 일반 산업 통계보다 금융 사기 범죄자들에게 훨씬 더 매력적인 타깃이 되고 있습니다.