[해외보안뉴스] 수백만 달러 규모의 이메일 사기(BEC)를 저지른 전 미 공군 대원들에게 실형 선고
· 2026-09-30 02:00
· 조회 22
· 원문 ↗
미국 연방법원이 수년 동안 다수의 이메일 업무 협박(BEC, Business Email Compromise) 및 피싱 공격을 주도한 전직 미 공군 대원 2명에게 합산 189개월(약 15년 9개월)의 연방 교도소 수감형을 선고했습니다. 이들은 정교한 피싱 기법과 도용된 계정 정보를 활용해 기업, 정부 기관 및 개인을 대상으로 광범위한 금융 사기 행각을 벌여온 것으로 밝혀졌습니다.
가해자들은 신뢰할 수 있는 기관이나 거래처로 위장한 스푸핑 이메일을 유포하고, 금융 거래 계좌 정보를 무단 변경하는 방식으로 수백만 달러에 달하는 자금을 갈취했습니다. 또한, 유령 회사와 대포 통장을 활용한 조직적인 자금 세탁 네트워크를 구축하여 피해 자금을 해외로 은닉하거나 사적으로 유용하며 장기간 법망을 피했습니다. 이번 사건은 내부자 지식이나 군 경력을 악용한 정교한 피싱 공격이 민간과 공공 부문 모두에 심각한 재정적 피해를 입힐 수 있음을 보여줍니다.
이러한 BEC 및 피싱 공격 피해를 예방하기 위해 기업과 기관은 모든 주요 계정에 다중 요소 인증(MFA) 도입을 의무화하고, SPF, DKIM, DMARC 등 강화된 이메일 인증 프로토콜을 적용해야 합니다. 또한, 송금 계좌 변경이나 대규모 자금 이체 요청이 수신될 경우 반드시 전화나 별도의 교차 검증 채널을 통해 재확인하는 내부 승인 절차를 의무화해야 합니다. 정기적인 임직원 대상 피싱 훈련과 이메일 게이트웨이 보안 강화 역시 필수적입니다.
♥ 추천 0
BEC(기업 이메일 침해) 공격은 사회공학적 기법이 핵심이지만, 개발 관점에서는 DMARC, DKIM, SPF 등 이메일 인증 프로토콜을 철저히 강제해 도메인 사칭을 차단하는 것이 기본입니다. 특히 중요 금융 거래나 데이터 변경 요청은 이메일 단일 채널에 의존하지 않고, 별도의 2차 승인 절차(Out-of-band verification)와 MFA가 동작하도록 아키텍처를 설계해야 합니다. 결국 시스템 전반에 '완벽히 신뢰할 수 있는 내부자는 없다'는 제로 트러스트 기조를 적용하고 이상 거래 감지(FDS) 로직을 고도화하는 것이 개발 팀의 핵심 과제입니다.
군 조직과 내부 사정에 익숙한 공격자가 주도하는 BEC는 타깃의 경계심을 허물어 사회공학적 공격의 성공률을 극대화합니다. 고도의 제로데이 취약점 없이도 프로세스 허점과 인간의 신뢰를 악용하는 BEC는 침투 테스터 관점에서도 가성비(ROI)가 매우 높은 위협적인 공격 벡터입니다. 메일 인증 보안(SPF/DKIM/DMARC)이 존재하더라도, 정교하게 설계된 비즈니스 맥락 기반의 공격은 기술적 경계 방어를 쉽게 우회할 수 있음을 잘 보여줍니다.
BEC(기업 이메일 침해)는 단순한 기술적 해킹을 넘어 조직의 재무와 신뢰를 흔드는 가장 치명적인 비즈니스 리스크입니다. 전문성을 가진 인적 자원조차 위협 주체가 될 수 있는 만큼, 메일 보안 솔루션 강화는 물론 금융 거래 시 '다층 승인 및 교차 검증(Out-of-band verification)' 프로세스를 정책화해야 합니다. 기술적 방어와 프로세스 통제, 지속적인 임직원 훈련이 결합된 통합적 보안 거버넌스만이 이러한 리스크를 실질적으로 차단할 수 있습니다.