[IT 칼럼] 보안의 생활화만이 이메일 해킹 무역사기를 막을 수 있다

석호익 통일IT포럼회장/한국디지털융합진흥원장

최근 LG화학이 사우디아라비아 거래처 ‘아람코프로덕트트레이딩’을 사칭한 이메일에 속아 분기 영업이익 5%에 해당하는 240억원이나 되는 큰 피해를 볼 처지에 있다. 납품대금 계좌가 변경됐다는 내용의 이메일을 받은 뒤 의심치 않고 거래대금을 송금했기 때문이다. 이처럼 이메일 해킹 무역사기가 기승을 부리고 있다. 이메일을 활용한 사기, 해킹 등 사이버 범죄는 날이 갈수록 그 수법이 진화하고 있다.

이메일 해킹 무역사기는 존재하지도 않은 투자·거래 등을 사실처럼 위장해서 돈을 갈취하는 수법이다. 유명 기업의 최고경영자(CEO) 이름으로 재무담당자에게 이메일을 보내 특정계좌로 거래대금을 송금하라고 하는 경우가 많다. 이메일에 ‘나이지리아 왕족이 거액의 비자금을 국외로 반출하려고 한다’는 내용이 자주 쓰이기 때문에 ‘나이지리안 스팸’이라고도 한다. 그러나 나이지리아뿐만 아니라 미국, 영국, 네덜란드 등 전 세계에서 발생하고 있고 아프리카 지역에 인터넷보급이 늘면서 피해도 확대되고 있다. 지난해에 나이지리아 스패머가 비영어권인 아시아지역 중소기업을 주요 타깃으로 하여 피해를 입힌 규모가 54개국, 2000여건이나 된다고 한다.

우리나라 기업도 예외가 될 수 없다. 지난해에 150여건이 발생했고 올해 들어 4월까지 40건을 넘어섰다. 그동안 주로 중소기업이 피해를 입었지만, 최근엔 LG화학을 비롯해 포스코대우(전 대우인터내셔널) 등 대기업까지 속수무책으로 당하고 있다. 파악되지 않고 있는 이메일 무역사기까지 포함하면 피해 규모는 막대하다고 하겠다. 특히 우리나라의 많은 중소기업들은 별도 도메인 없이 무료 이메일 계정을 사용하고 있기 때문에 보안에 취약해 이메일 해킹의 표적이 되고 있다.

중소기업이 무역사기를 당하면 자금 운용이 어려워지고 생존에 치명적인 영향을 미친다. 그러나 범인이 보낸 가짜 이메일에 속은 피해 기업이 대금 송금 후 거래 업체에 독촉하는 과정에서 피해 사실을 뒤늦게 인지하는 경우가 많다. 경찰이나 검찰에 수사를 의뢰해도 대부분 국제 범죄 조직이어서 검거가 쉽지 않다. 피해대금을 해외 은행으로 송금한 경우 지급 정지도 어렵다. 해킹사기는 대부분 국제적인 범죄조직이다 보니 국제 간 공조로 수사해야 한다. 경찰청에 의하면 이메일 해킹 무역사기로 국제 공조수사를 요청한 사건은 2013년 44건, 2014년 88건, 2015년 150건에 달했다. 올해 4월까지 벌써 44건에 대해 국제 공조 수사를 진행했다고 한다. 그러나 국제 간 공조로 범인을 검거해서 사기당한 금액을 회수하기란 쉽지 않다.

이메일 해킹 무역사기는 대부분 악성코드로 시작한다. 해커는 무역기업의 내부 PC에 악성코드에 감염시킨다. 장기간 수출입 거래와 관련된 이메일 송·수신 내역을 지켜보다가 결제 계좌 변경을 통지하고 거래대금을 가로챈다. 이메일 해킹 무역사기는 부주의를 노리는 경우가 많다고 한다. 이메일을 통한 일상적인 업무에서 발신자 명과 대략적인 주소만을 확인하는 습관의 허점을 노린 수법이다.

이메일 해킹 무역사기를 막기 위해서는 내부 보안원칙을 만들고 이를 철저히 준수해야 한다. 보안원칙에 따라 보안프로그램이 설치된 사내 PC로만 로그인하고, 비밀번호는 주기적으로 변경해야 한다. 회사의 정식 사이트라 하더라도 정보 입력을 요구하는 팝업창이나 이메일 메시지에는 신중하게 대응해야 한다. 수출업자가 입금 계좌 변동 내용이 포함된 이메일을 보내면 전화나 팩스 등으로 진위 여부를 확인해야 한다. 무역 거래를 할 회사와 계약서를 작성할 때는 지불받은 계좌를 미리 지정한다. 한국무역협회에는 해외 불법 이메일 접속 차단서비스를 신청한다. 메일 발송 서버가 정상으로 등록된 것인지 여부를 확인하는 한국인터넷진흥원의 메일서버등록제에도 가입해서 비정상 메일 전송을 사전에 차단해야 피해를 줄일 수 있다.

정보기술(IT)이 발전하면서 범죄 수법은 더욱 정교해지고 있다. 이메일 무역사기를 막는 첫걸음은 ‘보안의 생활화’이다. 보안원칙의 준수는 해외업무 담당자만 해서는 부족하고 사장부터 일용직까지 전임직원이 지켜야 한다. 일상에서 보안 원칙을 지키는 일은 아무리 강조해도 지나치지 않다.