공급업체가 새 은행 정보를 보냈습니다. 무엇을 확인해야 할까요?

몇 달째 같은 공급업체에 대금을 지급해 왔거나, 이제 막 선금을 지급하려는 상황입니다. 평소 연락하던 담당자에게서 회사가 거래 은행을 바꿨거나 계좌가 ’감사 중’이라 이번 대금은 새 계좌로 보내야 한다는 이메일이 도착합니다. 인감과 올바른 로고가 찍힌 새 청구서가 첨부되어 있습니다.

메시지 자체가 아닌 경로로 확인하기 전까지는 이 변경을 미확인 상태로 취급하세요. 확인하려고 그 이메일에 답장하지 말고, 이메일에 적힌 번호로 전화하지도 마세요. 이미 알고 있던 연락처로 공급업체가 새 정보를 확인해 줄 때까지, 그리고 새 수취인이 이번 주문에 맞는다고 납득될 때까지 지급을 보류하세요. 이미 지급했다면 즉시 거래 은행에 연락해 송금 회수를 요청하세요.

이 요청에 잠시 멈춰야 하는 이유

계좌 변경 요청은 비즈니스 이메일 침해의 대표적인 수법입니다. 사기범은 공급업체 또는 구매자의 실제 메일함에 접근하거나 비슷하게 생긴 도메인을 등록한 뒤, 주고받은 서신을 읽고 대금 지급 시점에 맞춰 새 지급 지시를 보냅니다. FBI의 인터넷 범죄 신고 센터는 이를 정당한 송금 요청을 노리고, 사회공학이나 침입을 통해 비즈니스 이메일 계정을 탈취해 벌이는 사기라고 설명합니다. 2023년 데이터를 바탕으로 한 2024년 발표에 따르면, 영국과 홍콩의 은행이 자금의 중간 경유지 역할을 하는 경우가 많았고, 그 뒤를 중국, 멕시코, 아랍에미리트(UAE)가 이었습니다. IC3.

메시지가 공급업체의 실제 주소에서 올 수 있고 실제 주문을 언급할 수 있기 때문에, 메시지 자체에 있는 어떤 것도 이를 확인해 주지 못합니다. 인감, 회사 레터헤드, PDF 청구서, 익숙한 문체는 모두 이전 이메일에서 복제할 수 있습니다.

공급업체가 실제로 거래 은행을 바꾸거나 다른 법인을 통해 대금을 수령하기 시작하는 일도 때로는 있습니다. 지급을 보류하는 것은 비난이 아니라, 진짜 변경과 사기성 변경을 구별하는 확인 절차입니다.

별도 경로로 변경을 확인하세요

IC3는 계좌 정보 변경 요청을 확인할 때 보조 경로나 2단계 인증을 사용하라고 권고합니다. IC3. 실제로는 다음과 같이 하세요.

• 이미 알고 있던 번호로 전화하세요. 계약서에 적힌 번호, 변경 전에 받은 이전 청구서의 번호, 또는 예전에 통화한 적 있는 번호를 사용하세요. 변경 요청에 적힌 번호나 같은 이메일 스레드의 서명에 있는 번호는 사용하지 마세요.
• 아는 사람과 직접 통화하세요. 평소 연락하는 담당자와, 가능하다면 영업 관리자나 재무 부서 담당자 같은 두 번째 사람에게 새 계좌번호와 수취인명을 읽어 달라고 요청하세요. 먼저 상대에게 아무것도 읽어 주지 마세요.
• 이전에 마련해 둔 다른 수단을 쓰세요. 변경 요청보다 먼저 시작된 위챗이나 왓츠앱 대화는 별도 경로이지만, 이메일에서 추가하라고 한 새 채팅 계정은 별도 경로가 아닙니다.
• 계좌가 바뀐 이유를 물어보세요. 진짜 변경에는 새로운 거래 은행, 그룹 내 새 수금 법인, 회사 변경 같은 평범한 답이 있습니다. 답을 기록해 두세요. 나중에 서류와 비교하게 됩니다.

공급업체가 그런 요청을 보낸 적이 없다고 하면 양쪽 메일함이 모두 침해되었을 수 있습니다. 공급업체에 알리고, 이번 주문의 지급 지시에는 이메일을 더 이상 사용하지 말며, 은행에 제출할 수 있도록 그 메시지를 보관하세요.

새 수취인이 이번 주문에 맞는지 확인하세요

전화로 확인하면 공급업체가 그 요청을 했다는 사실은 알 수 있습니다. 하지만 새 수취인이 지급해야 할 당사자라는 사실은 알려 주지 않습니다. 새 정보를 주문에 관해 알고 있는 내용과 비교하세요.

• 수취인이 여전히 판매자인가요? 예금주명이 이전과 같고 계약서상 회사와 같은 등록 회사라면, 이는 은행 변경입니다. 이름이 다르다면 수취인 변경이므로 전화 한 통보다 더 많은 확인이 필요합니다.
• 같은 이름의 변형인가요? 중국 회사의 계좌는 중국어 명칭을 영문으로 표기한 이름으로 나타날 수 있습니다. 새 이름을 다른 당사자로 취급하기 전에 철자나 번역 변형인지 확인하세요. 공급업체와 일치하지 않는 수취인명 가이드에서 이 문제를 다룹니다.
• 홍콩 회사인가요? 홍콩 수금 회사는 적법할 수 있지만, 거래 관계 중간에 그런 회사로 바꾸는 것은 다른 새 수취인과 마찬가지로 증거가 필요합니다. 홍콩 회사가 대금을 받는 경우를 참고하세요.
• 개인인가요? 회사가 아닌 개인에게 지급하라는 요청을 갑자기 받았다면, 판매자가 서면으로 설명하고 그 설명에 납득할 때까지 지급을 보류해야 합니다.
• 은행의 국가가 바뀌었나요? 공급업체나 주문과 아무 관련이 없는 국가의 수취 은행이라면 멈추고 물어볼 이유가 됩니다.

판매자가 발행한 갱신된 견적송장이나 계약 변경서에 새 지급 정보를 기재해 달라고 요청하되, 수취인을 명시하고 그곳에 지급하면 이번 주문에 대한 구매자의 의무가 이행된다는 내용을 적어 달라고 하세요. 그 문서도 같은 별도 경로로 확인하세요.

요청 배후의 회사를 확인하세요

변경과 함께 새 회사명이 왔거나 원래 회사를 확인한 적이 없다면, 본토 회사의 등기 기록을 확인하세요. 영문명, 중국어 명칭 또는 통일사회신용코드(USCC)로 영어로 조회할 수 있습니다. 검색은 무료이며, 전체 영문 보고서는 유료입니다. 등기 기록은 회사가 존재한다는 사실과 그 회사에 관해 등록된 내용을 확인해 줍니다. 은행 계좌를 확인해 주지는 않으며, 누가 그 이메일을 보냈는지도 알려 주지 않습니다.

회사 자체와 그 서류, 서명 권한을 확인하는 단계는 중국 공급업체 확인 가이드에 있습니다.

보내기 전에 은행에 물어보세요

등기 조회는 은행 계좌를 검증하지 않습니다. 대금을 보내기 전에 국제 송금의 수취인에 대해 어떤 확인을 할 수 있는지, 보낸 뒤 사기를 신고하면 무엇을 할 수 있는지 은행에 문의하세요. 일부 은행은 일부 지급 유형에 한해 수취인명과 수취 계좌를 대조할 수 있으며, 이번 송금에도 해당하는지 물어보세요. 해당하지 않는다면 이 가이드의 다른 확인들이 그 역할을 전부 감당해야 합니다.

이미 지급한 경우

같은 날 바로 행동하세요. IC3는 사기 송금을 발견했다면 시간이 관건이라며, 즉시 금융기관에 연락해 자금 회수를 요청하고 손실 금액과 관계없이 IC3에 신고하라고 권고합니다. IC3. IC3는 미국의 서비스이며, 다른 국가에 있다면 해당 국가의 경찰이나 사기 신고 서비스에도 신고하세요.

• 은행에 송금 날짜, 금액, 수취 계좌, 송금 참조 번호를 알려 주세요.
• 전체 헤더가 포함된 이메일, 청구서, 모든 채팅 메시지를 보관하세요. 스레드를 삭제하지 마세요.
• 알고 있는 경로로 진짜 공급업체에 알리세요. 침해된 메일함이 공급업체의 것일 수 있고, 다른 구매자들도 같은 요청을 받고 있을 수 있습니다.
• 침해가 구매자 쪽에서 일어났을 경우에 대비해 자신의 이메일 비밀번호를 바꾸고 전달 규칙을 확인하세요.

자금 회수는 보장되지 않으며 수취 은행에 얼마나 빨리 연락하느냐에 달려 있습니다. 회수 요청이 빠를수록 가능성이 높습니다.

이러한 확인으로 무엇이 확인되나요

아는 연락처와의 전화로 확인된 변경, 판매자이거나 서류로 확인된 수금 당사자인 수취인, 판매자의 갱신된 지시가 함께 갖춰지면 그 요청이 사기일 가능성은 훨씬 낮아집니다. 그렇다고 그 계좌가 공급업체의 지배 아래 있다거나 물건이 납품될 것이라고 보장하지는 않습니다. 설명되지 않은 점은 눈에 보이게 남겨 두고, 그 대금을 지급할 가치가 있는지 판단하세요.

이 가이드에서 다루지 않는 내용

이 가이드는 중국이나 홍콩의 공급업체에 대금을 지급하기 전에 지급 정보 변경 요청을 확인하는 방법을 다룹니다. 이메일 보안을 깊이 있게 다루지 않고, 자금 회수 절차, 차지백, 보험, 특정 국가의 법률도 다루지 않으며 법률 자문이 아닙니다.

수취인 변경으로 계약서, 청구서, 은행 정보가 서로 맞지 않게 되었고, 본토 회사를 등기 기록과 대조하고 새 수취인과 비교하고 싶다면 보유한 서류로 확인을 신청할 수 있습니다.