‘송금 유도 이메일 사기(BEC, Business Email Compromise)’라는 사기수법이 있다. 기업의 이메일 정보를 해킹, 거래처로 둔갑시켜서 무역 거래 대금을 가로채는 범죄 수법을 말한다. 사기에 가담한 사람을 ‘스캐머(Scammer)’라고 한다.

이 수법이 등장한 것은 1980년대부터다. 예전에는 편지를 사용했으나 최근에는 이메일을 등을 사용하는 등 수법이 날로 지능화되고 있다. ‘스캐머’는 목표로 한 기업 등에 악성 코드를 감염시킨 후 업체가 지불 결제 방식을 바꾸도록 유도한다.

이메일 해킹으로 거래업체 간 주고받는 내용을 지켜보다가 송금과 관련된 내용이 있을 때 그 중간에 끼어들어간다. 이어 주요 거래처가 메일을 보낸 것처럼 속인 다음 바뀐 계좌 정보를 이용해 거래 대금을 빼돌리는 방식이다.

나이지리아서 54개국 2328명에 범행    

보안업체 ‘파이어아이’의 분석에 따르면, 2015년 8월 기준 스캐머에 의한 피해 규모는 54개국 2328명인 것으로 집계되고 있다. 미국 FBI는 보고서를 통해 지난 2015년 1월 이후 스캐머로 인해 미국에서만 약 30억 달러의 피해가 있었다고 밝혔다.

지난 2016년 4월 우리나라의 한 대기업은 사우디아라비아의 국영 석유기업인 ‘아람코’의 자회사를 사칭한 이메일로 인해 사기를 당했고 240억 원의 막대한 거래 대금을 날린 사례가 있다. 워낙 교묘하게 접근하기 때문에 대기업도 피해자가 될 수 있다는 것을 말해주고 있다.

스캐머 사기에 대한 기업들의 불안감은 심각한 수준이다. 보험사 통계에 따르면 대기업 중 약 80%가 고통을 받고 있으며, 지금과 같은 상태가 이어질 경우 세계 경제에 미치는 손실액이 약 4000억 달러에 달할 것으로 추산하고 있다.

스캐머 움직임에 대한 구체적인 실체도 드러나고 있다. 보안업체 ‘파이어아이’가 발표한 보고서에 따르면 스캐머 범죄집단들은 아프리카 나이지리아에 그 기반을 두고 있으며, 이곳을 중심으로 세계 전역으로 그 범죄 영역을 확대해 나가고 있다.

피해 대상은 주로 비영어권 국가로 아시아 지역에 있는 중소기업이 대부분을 차지했다. 스캐머들은 이메일을 해킹한 뒤 거래업체 간 주고받은 메일을 확인하고, 송금과 관련된 내용이 있으면 중간에 끼어드는 방식이다.

거래처가 메일을 보낸 것처럼 속인 뒤 다른 계좌번호를 보내 거래대금을 가로챘다. 실제 이들은 이메일 주소에서 ‘g’가 들어가 있으면 비슷한 모양의 ‘q’로 바꾸는 등 심리적인 수법으로 기업인들을 교묘하게 속여 넘긴 것으로 확인됐다.

국내 기업들 역시 피해가 속출하고 있다. 무역업계에 따르면 국내에서 최근 3년간 피해를 본 수출기업만 71곳에 달한다. 세계적으로 피해가 속출하면서 국가적으로 사이버보험 도입에 대한 움직임이 활발하게 전개되고 있다.

미국 등 사이버보험 도입 적극 검토    

미국 국토안보부(DHS) 산하 ‘국가보호프로그램위원회(NPPD)에서는 2015년 2월에 사이버사고 데이터 저장소 작업반(CIDAWG)을 발족했다. 그리고 사고의 종류, 사고의 심각성 등 16개 분류 방식에 따라 데이터를 축적하고 있는 중이다.

향후 보험사와 협의해 이 데이터를 종합적으로 활용하는 방안을 모색할 계획이다. 관계자들은 데이터를 활용해 사고의 원인 등을 역추적할 수 있을 것으로 보고 있다. 국가적으로 사이버보험을 활성화하는 방안도 모색하고 있다.

미국의 싱크탱크로 알려진 RAND연구소에서는 계속해 늘어나는 사기피해를 해결하기 위해 ‘사이버 보험(Cyber Insurance)’에 대한 보고서를 작성했다. RAND는 ‘Content Analysis of Cyber Insurance Policies’란 제하의 보고서를 통해 스캐머 범죄의 심각성을 지적했다.

이를 해소하기 위해 정부가 전국적인 ‘사이버보험’ 정책 수행을 검토할 필요가 있다고 제안했다. 이를 위해 사기 피해자들이 지금 어떤 피해를 겪고 있는지, 피해를 당한 경우 어떤 보험을 원하고 있는지 등에 대해 복안을 마련할 필요가 있다고 주장했다.

보험사 AIG에서는 지난 4월 사이버보험 상품을 선보였다. 이 상품의 이름은 ‘패밀리사이버엣지(Family CyberEdge)’로 기업보다는 일반인을 주 소비자로 하고 있다. 부유하거나 사회적으로 유명인사들이 보안 상태가 취약한 상태라고 판단한 결과다.

그리고 최근 보험 가입자가 급속히 늘고 있는 중이다. 특히 올해 5월, 6월 등장한 랜섬웨어 멀웨어 툴 ‘워너크라이(WannaCry)’, 페트야(Petya)가 대규모 공격을 감행하면서 특히 아시아 지역에서 가입자 수가 급증한 것으로 나타났다.

유럽연합에서는 지난 2009년부터 특정 산업 분야를 대상으로 이미 사고데이터 보고를 의무화했다. 기본지침(Framework Directive) 13a에 따라 회원국은 네트워크 또는 서비스 운영에 중대한 영향을 미치는 사항을 감독기관에 보고해야 한다.

이와 함께 유럽네트워크정보보호원(ENISA)에서는 보험 도입을 위해 데이터를 축적하고 있는 중이다. 지난해 8월에는 지침 개정을 통해 에너지, 교통, 보건의료, 금융 등 사이버사고가 우려되는 분야에서 피해를 당했을 경우 보고를 의무화하는 근거 규정을 강화했다.

영국은 최근 정부 차원에서 안전한 온라인 환경 조성을 위해 보험업계와 협업을 추진하고 있다. 영국보험협회에서는 더 구체적인 실행계획을 발표하고 있다. 사이버 사고 데이터를 축적하기 위해 데이터베이스를 구축하고 새로운 보험 모델을 개발 중이다.

보험을 시행하기 위해서는 데이터 관리가 필수적이다. 현재 주요 국가들은 데이터 축적은 물론 데이터 분석 결과를 발표하고 있는 중이다. 사이버사고가 증가하면서 관련 정보를 공유하고 그 활용방안을 모색하려는 국가 간 협의도 다각도로 진행되고 있는 중이다.