무역사기의 6가지 유형과 예방법 — 10년 거래처도 당하는 '계좌 변경' 사기의 구조

2022년, 기계가공 공구를 수출하는 한국 기업 J사의 일본 거래처가 "J사의 은행 계좌가 변경되었다"는 이메일을 받았습니다. 첨부된 계좌변경 서류에는 J사의 법인인감까지 찍혀 있었습니다. 10년 넘게 거래한 사이였기에 일본 기업은 의심 없이 새 계좌로 세 차례에 걸쳐 물품대금 20만 9,829달러를 송금했습니다. J사는 통장을 바꾼 적이 없었습니다. 이메일과 서류 모두 위조였습니다(KOTRA 「2024 무역사기 예방 및 대응 매뉴얼」 수록 사례).

무역사기에 대한 가장 흔한 오해는 "낯선 상대를 조심하면 된다"는 것입니다. 실제로 피해가 큰 사기는 반대로, 이미 신뢰가 쌓인 거래의 결제 순간을 노립니다. 이 글은 KOTRA 공식 매뉴얼과 FBI 통계를 근거로 주요 사기 유형의 수법을 해부하고, 계약서와 메일 서명에 바로 넣을 수 있는 예방 장치까지 정리합니다.

숫자로 보는 무역사기

KOTRA 해외무역관에 접수된 무역사기는 2020년 160건, 2021년 130건, 2022년 125건, 2023년 118건입니다. 2023년 접수 건을 유형별로 보면 서류위조 29건, 선적불량 25건, 결제사기 20건, 이메일사기 17건, 금품사기 15건, 불법체류 2건, 기타 10건입니다(KOTRA 2024 매뉴얼). 접수 건수는 줄고 있지만, 이는 어디까지나 무역관에 신고된 사례입니다.

규모를 보여주는 것은 미국 FBI 통계입니다. 이메일을 해킹해 기업 간 송금을 가로채는 수법(BEC, Business Email Compromise)의 피해액은 2024년 한 해에만 27억 7,000만 달러, 신고 21,442건으로, 투자 사기에 이어 피해액 기준 두 번째로 큰 사이버 범죄였습니다(FBI IC3 2024 연차보고서). 건당 평균으로 환산하면 약 13만 달러 — 중소 수출기업에는 한 번의 사고가 연 이익을 지우는 수준입니다.

유형별 수법 해부

1. 이메일 해킹 (계좌 변경 사기). 가장 정교하고 피해가 큰 유형입니다. 사기범은 수출자 또는 수입자의 메일 계정을 해킹해 오랜 기간 교신 내용을 지켜보기만 합니다. 그러다 규모가 큰 결제가 임박한 시점에 수출자를 가장해 "대금 지급 계좌가 변경되었다"는 메일을 보냅니다. 수취인 이름은 기존 거래처와 똑같이 맞추고, 은행만 제3국으로 바뀌는 경우가 많습니다. 거래 맥락을 완벽히 알고 들어오기 때문에 문장만으로는 구분이 거의 불가능합니다.

2. 서류위조. 사업자등록증, 은행 보증서, 정부 인증서 등을 위조해 실체 없는 회사를 실재하는 것처럼 꾸밉니다. KOTRA 매뉴얼에는 서류가 모두 그럴듯했지만 무역관이 확인해 보니 현지 상공회의소·신용평가기관 데이터베이스에 회사가 존재하지 않았고, 서류에 서명한 담당자도 발급기관에 없었던 사례가 실려 있습니다.

3. 결제사기. 물건을 받고 대금을 지급하지 않거나, 위조 송금증을 보내 선적을 유도하는 유형입니다. 첫 거래에서 유리한 외상 조건(O/A)을 요구하는 상대는 특히 주의해야 합니다.

4. 선적불량. 반대로 수입 거래에서 대금을 받고 물건을 보내지 않거나 계약과 다른 물건을 보내는 유형입니다.

5. 금품사취. 대형 발주를 미끼로 "계약 성사를 위한 수수료·로비자금·공증비"를 먼저 요구합니다. 실제 발주는 존재하지 않습니다. KOTRA 통계상 이라크 등 중동 지역에서 접수가 많았던 유형입니다.

6. 기타 — 은행·기관 사칭. 투자 제안 후 "계좌 거래정지 해제 비용" 같은 명목으로 송금을 유도하는 식의 변형도 접수되고 있습니다.

예방 수칙 — 계약서와 메일에 넣는 안전장치

무역사기는 국경을 넘는 범죄라 발생 후 자금 회수가 극히 어렵습니다. KOTRA 매뉴얼이 일관되게 강조하는 것도 "예방이 사실상 유일한 대응"이라는 점입니다. 실무 장치는 다음과 같습니다.

결제계좌 불변경 원칙을 문서화하세요. 계약서 또는 모든 메일 하단에 "당사는 결제 계좌를 변경하지 않으며, 계좌 변경을 안내하는 어떤 연락도 무효"라는 취지의 영문 안내문을 넣는 방법입니다. KOTRA 매뉴얼은 실제 예시문("Seller will never change its bank account details for payment…")까지 제공합니다. 이 한 줄이 있으면 바이어가 위조 계좌변경 메일을 받아도 걸러낼 근거가 생기고, 사고 시 책임 소재도 명확해집니다.

계좌 변경은 이메일 밖에서 검증하세요. 만약 계좌를 정말 바꿔야 한다면, 이메일이 아닌 별도 채널 — 유선 전화나 화상통화 — 로 반드시 재확인하는 절차를 계약서에 '수취계좌 변경 프로토콜'로 명기해 두는 것을 KOTRA는 권고합니다. 핵심은 "해킹된 채널로 해킹 여부를 확인할 수 없다"는 원칙입니다.

거래 전 상대를 조사하세요. 서류위조·금품사취형 사기는 거래 전 신용조사에서 대부분 걸러집니다. 무역보험공사(K-SURE)의 국외기업 신용조사, KOTRA의 해외수입업체 연락처 확인 서비스가 대표적 창구입니다. 구체적 방법은 해외 바이어 신용조사하는 법에서 다뤘습니다.

결제 조건과 보험으로 하방을 막으세요. 신용이 확인되지 않은 상대와의 첫 거래에서 외상(O/A)·인수인도(D/A)를 받아들이지 않는 것만으로 결제사기의 상당 부분을 차단할 수 있습니다. 조건별 위험도는 수출 결제 조건 한눈에, 대금 미회수 위험 자체를 보험으로 이전하는 방법은 무역보험 완전 정리를 참고하세요.

자사 메일 계정부터 지키세요. 이메일 해킹 사기의 절반은 수출자 쪽 계정이 뚫려서 시작됩니다. 메일 계정의 2단계 인증은 기본이고, 발신 도메인에 SPF·DKIM·DMARC를 설정하면 사기범이 우리 회사를 사칭한 위조 메일을 보내는 것 자체가 어려워집니다. 설정 방법은 SPF·DKIM·DMARC 30분 셋업 가이드에 정리돼 있습니다.

사고가 났다면 — 시간 싸움입니다

송금 후 사기를 인지했다면 최우선 순위는 송금 은행에 즉시 지급정지(리콜)를 요청하는 것입니다. 국제 송금은 중개 은행을 거치는 동안 며칠의 시차가 있어, 빠르면 자금이 인출되기 전에 막을 수 있습니다. 미국 계좌가 관련된 경우 FBI IC3(ic3.gov)에 신고하면 금융사기 대응 절차(Financial Fraud Kill Chain)가 가동됩니다. 동시에 관할 KOTRA 해외무역관과 경찰청 사이버수사 창구에 신고해 현지 대응과 수사를 병행해야 합니다.

무역사기의 수법은 계속 바뀌지만 구조는 같습니다 — 신뢰가 확인되지 않은 정보로 돈이 움직이는 순간을 노립니다. 계좌 변경은 반드시 두 번째 채널로 확인하고, 거래 전 상대를 조사하고, 결제 조건으로 하방을 막는 것. 이 세 가지만 지켜도 접수 사례 대부분의 패턴을 벗어날 수 있습니다.