비즈니스 이메일 침해(BEC) 이해:위험 및 보호 전략

FBI 인터넷범죄신고센터(Internet Crime Complaint Center) 연례 보고서에 따르면 비즈니스 이메일 손상(BEC) 공격으로 인해 2025년에 30억 달러 이상의 손실이 발생했습니다. 이 수치는 스마트하고 안정적인 BEC 보호의 필요성을 강조합니다.

단 한 번의 이메일 계정 손상으로 인해 사기, 급여 도용 또는 고객 정보 도용이 발생할 수 있습니다.

중소기업은 빠르게 움직이고 이메일 통신에 크게 의존하기 때문에 주요 표적입니다. 그러나 다단계 인증(MFA) 또는 고급 이메일 필터링과 같은 중요한 보안 계층이 없는 비즈니스는 공격자가 추가 확인 없이 계정에 액세스하거나 직원을 사칭할 수 있으므로 취약할 수 있습니다.

BEC는 어떻게 작동하나요?

비즈니스 이메일 손상 공격은 연구하고 배울 수 있는 감지 가능한 맬웨어나 일반적인 위험 신호에 의존하지 않습니다. 대신 BEC 사기는 신뢰를 기반으로 합니다. 사기꾼은 회사를 조사하고 누가 결제 또는 민감한 데이터를 처리하는지 알아낸 다음 돈이나 민감한 비즈니스 정보를 얻기 위해 완전히 합법적인 것처럼 보이는 메시지를 보냅니다.

일반적인 BEC 사기가 어떻게 전개되는지 자세히 살펴보겠습니다.

연구 및 타겟팅:공격자는 경영진 이름, 공급업체, 청구 주기, 휴가 일정 등 회사에 대한 세부 정보를 수집합니다. 타겟으로 삼고 싶은 팀이나 사람을 결정합니다.
사칭:공격자는 CEO, 관리자 또는 공급업체로 가장하기 위해 계정을 스푸핑하거나 손상시키며, 민감한 계정이나 금융 시스템에 액세스하기 위해 추가 피싱 이메일을 보낼 수도 있습니다. 피싱 시도는 고위 지도자를 겨냥한 고래 공격의 형태를 취할 수도 있습니다.
긴박함 조성:이메일은 "이 은행 송금은 오늘 보내야 합니다." 또는 "지금 이 문서가 필요합니다."와 같이 긴급한 언어를 사용하여 귀하에게 압력을 가합니다.
결제 또는 데이터 요청:사기꾼은 돈, 급여 변경 또는 민감한 비즈니스 정보를 요구합니다.
자금 또는 정보 전송:대상은 요청이 실제라고 생각하여 응답하고, 자금이나 데이터는 공격자에게 바로 전달됩니다.

BEC, 피싱, 스피어 피싱의 차이점은 무엇인가요?

피싱은 가짜 메시지를 사용해 피해자가 유해한 링크를 클릭하거나 자격 증명을 넘겨주도록 속이는 광범위한 사기입니다. 스피어 피싱은 특정 개인, 소규모 그룹 또는 조직을 대상으로 맞춤형 공격을 실행하는 피싱의 하위 유형을 표적으로 삼는 것입니다. BEC 공격은 비즈니스 사기에 초점을 맞춘 고도로 표적화된 스피어 피싱 형태입니다.

스피어 피싱과 마찬가지로 BEC는 피싱 전술을 사용하지만 기업 내 금융 및 데이터 사기에 더 명확하고 더 높은 가치의 초점을 맞춥니다. 그러나 신뢰할 수 있는 리더, 공급업체 또는 임원과 같은 가치가 높은 개인이 공격의 대상이 되는 대신 이러한 사람들은 BEC 공격으로 가장되며 사기꾼은 자신이 명령하는 신뢰를 활용하여 자금 이체나 민감한 데이터를 요청합니다.

비즈니스 이메일 침해는 고도로 표적화된 스피어 피싱 형태입니다.

BEC 공격의 식별자는 무엇입니까?

BEC 메시지는 언뜻 보면 정상적으로 보이도록 설계되었지만 자세히 살펴보면 단서를 찾을 수 있습니다. BEC 공격은 고도로 개인화되어 있으므로 공격자가 원하는 정보와 가장하는 사람이 누구인지에 따라 다양한 접근 방식을 사용합니다. 하지만 답변하기 전에 비판적으로 생각해야 한다는 점에서 주의해야 할 몇 가지 사항이 있습니다.

BEC 공격의 일반적인 식별자는 다음과 같습니다.

은행 송금이나 민감한 정보에 대한 긴급 요청
결제 세부정보나 은행 계좌 정보가 갑자기 변경된 경우
임원이 보낸 이메일처럼 보이지만 어조나 범위가 약간 다른 느낌을 주는 이메일입니다.
발신자 주소나 도메인 이름의 미묘한 철자 오류(예:'l' 또는 'I' 대신 '1' 사용)
정상적인 승인 단계를 우회하라는 위의 압력
금융 거래와 관련된 기밀 유지 요청
심야 또는 주말 결제 요구 등 비정상적인 시기

고압적인 언어 및 통신 제한과 같은 의심스러운 요소를 강조하는 주석이 포함된 BEC 공격 이메일의 예입니다.

일반적인 BEC 예시

BEC 사기는 형태와 규모가 다양하지만 모두 동일한 결과를 목표로 합니다. 빠르게 신뢰를 얻고 돈이나 데이터를 공유하도록 속이는 것입니다. 하지만 이러한 공격이 실제 생활에서 어떻게 진행되는지를 보면 공격을 더 쉽게 발견하고 저지할 수 있습니다.

다음은 BEC 사기의 일반적인 예입니다:

CEO의 긴급 요청:직원은 기밀 거래를 위해 즉시 은행 송금이나 기프트 카드 구매를 요청하는 CEO로 보이는 이메일을 받았습니다.
급여 업데이트 사기:HR은 직원으로부터 직접 입금 세부정보를 빠르게 변경해 달라는 메시지를 받았습니다. 새 은행 계좌는 사기꾼의 것입니다.
중간자 공격:중간자 공격에서는 해커가 비밀리에 두 당사자 간의 이메일 대화를 가로채고 적절한 순간에 뛰어들어 결제 세부정보를 변경하거나 자금을 리디렉션합니다.
공급업체 송장 사기:범죄자가 신뢰할 수 있는 공급업체인 것처럼 가장하여 업데이트된 결제 지침을 보냅니다. 다음 청구서 지불은 공격자에게 바로 전달됩니다.
AI 기반 명의 도용:이제 일부 공격자는 AI와 딥페이크를 사용하여 음성과 글쓰기 스타일을 모방합니다. 가짜 음성메일이나 설득력 있는 이메일을 사용하면 사기가 놀라울 정도로 실제처럼 느껴질 수 있습니다.

실제 BEC 공격

2024년 초, Microsoft는 국가 위협 행위자가 고위 경영진, 사이버 보안 및 법무팀 구성원을 포함하여 소수의 직원 이메일 계정에 액세스할 수 있게 되었다고 밝혔습니다. 회사는 해당 활동을 감지하고 공격자의 액세스 권한을 제거한 후 법 집행 기관 및 규제 기관과 협력하기 시작했습니다.

이 사건은 운영에 실질적인 영향을 미치지 않았지만 이메일 계정 침해가 보안이 가장 성숙한 조직에도 어떤 영향을 미칠 수 있는지를 강조합니다.

BEC가 위험한 이유

BEC는 조직에 가장 큰 타격을 주는 부분, 즉 금전과 평판에 타격을 줍니다. 단 한 번의 사고로 인해 중소기업은 급여 차질, 공급업체 지급 지연, 성장 지연 등의 손실을 입을 수 있습니다.

또한 도난당한 직원 데이터나 고객 정보는 장기적인 피해를 초래할 수 있습니다. 법적 청구, 벌금, 위반 통지 비용 및 긴장된 파트너 관계에 직면할 수 있습니다. 게다가 팀의 시간은 비즈니스를 운영하는 대신 피해 관리에 집중됩니다. 고객은 세부정보를 다시 공유하기 전에 다시 한 번 생각할 수도 있습니다.

그렇기 때문에 결제 확인 워크플로, 보안 이메일 필터링, 정규 직원 교육 등 강력한 BEC 예방 조치를 취하는 것이 중요합니다. 이러한 관행은 직원들이 의심스러운 활동을 조기에 발견하고 하나의 사기성 이메일이 본격적인 위기로 변하기 전에 사이버 범죄를 예방하는 데 도움이 됩니다.

BEC 공격을 방지하는 방법

BEC를 방지하려면 중소기업을 위한 계층화된 이메일 보안이 필요합니다. 즉, 보안 이메일 도구, 액세스 제어 및 직원 교육이 모두 함께 작동한다는 의미입니다. 또한 명확한 내부 프로세스는 팀이 결제나 데이터 변경과 같은 민감한 요청을 불확실성 대신 확신을 갖고 처리하는 데 도움이 됩니다.

중소기업의 BEC 공격을 막으려면:

엄격한 결제 확인 절차를 마련하세요. 은행 송금 및 공급업체 은행 변경에 대해 이중 승인을 요구합니다. 이메일에 나열된 전화번호 대신 알려진 전화번호를 사용하여 요청을 확인하세요.
다단계 인증(MFA) 사용:모든 계정에서 MFA를 사용하면 비밀번호가 도난당하더라도 계정 탈취 시도를 차단할 수 있습니다.
고급 이메일 필터링 및 도메인 보호 배포:스푸핑된 도메인, 유사 주소, 비정상적인 전송 동작을 감지하는 도구를 사용하세요.
지속적인 피싱 인식 교육 제공:정기적인 시뮬레이션을 통해 실제 피싱 보호 기능을 향상하고 긴급 요청에 대한 충동 반응을 줄입니다.
비정상적인 로그인 활동 모니터링:누군가가 짧은 시간 내에 새 기기, 익숙하지 않은 위치 또는 멀리 떨어진 두 장소에서 로그인하면 경고를 보내는 보안 도구를 사용합니다.
민감한 통신 암호화:이메일을 암호화하면 급여 데이터, 계약 및 금융 기록을 가로채는 것으로부터 보호하는 데 도움이 됩니다.
금융 접근을 제한하세요. 승인된 직원만 결제를 승인하거나 은행 정보를 변경해야 합니다. 프로세스에 참여하는 인력이 적다는 것은 사람의 실수와 사기 행위가 발생할 가능성이 적다는 것을 의미합니다.
보안 스택을 정기적으로 검토하세요. 보안 이메일 게이트웨이, 엔드포인트 보호, 백업, 모니터링 등 중소기업 IT 필수 요소가 최신 상태이고 적절하게 구성되어 있는지 확인하세요.

안정적인 노트북과 사이버 보안 도구를 포함한 중소기업 IT 필수 체크리스트입니다.

BEC 공격이 의심되는 경우 취해야 할 조치

BEC 공격이 의심되는 경우 즉시 거래를 일시 중지하고, 신뢰할 수 있는 채널을 통해 요청을 확인하고, IT 또는 보안 팀에 알리고, 이미 송금한 경우 은행에 문의하세요. 조기 조치를 취하면 전반적인 사이버 보안 대응을 강화하는 동시에 귀하의 돈, 데이터, 평판을 보호할 수 있습니다.

BEC 공격이 의심되는 경우 취해야 할 조치에 대한 자세한 내용은 다음과 같습니다.

모든 관련 활동을 즉시 중지합니다. 결제를 일시중지하고, 보류 중인 이체를 동결하고, 상황이 해결될 때까지 더 이상 데이터가 공유되지 않도록 합니다.
신뢰할 수 있는 방법으로 요청을 확인합니다. 알려진 전화번호나 내부 시스템을 통해 해당 임원, 직원, 공급업체에 문의합니다. 의심스러운 이메일에 직접 답장하지 마세요.
리더십과 IT 또는 보안 팀에 경고:조기 내부 보고는 문제를 억제하고, 계정 도용을 확인하고, 회사 전체에서 유사한 시도를 방지하는 데 도움이 됩니다.
은행 사기 부서에 문의하세요. 신속하게 신고하면 손실된 자금을 중지하거나 복구하고 비즈니스를 보호할 가능성이 높아집니다.
영향을 받는 계정을 보호하세요. 비밀번호를 재설정하고, MFA를 활성화하고, 비정상적인 활동에 대한 로그인 기록을 검토하세요.
시스템 및 이메일 로그 검사:자동 전달 규칙(이메일 사본을 외부 주소로 비밀리에 전달하는 설정), 무단 액세스 또는 공격자가 아직 네트워크 내부에 있을 수 있다는 기타 징후를 찾아보세요.
모든 것을 문서화하세요. 이메일, 타임스탬프, 거래 세부정보를 저장하세요. 이는 필요한 경우 조사 및 보험 청구를 지원합니다.

비즈니스 이메일 손상 공격은 속임수를 기반으로 합니다. Norton Small Business는 성장하는 팀을 위해 설계된 강력하고 관리하기 쉬운 보호 기능을 통해 위협에 대처하는 데 도움을 줍니다. 장치 보안부터 금융 모니터링까지 Norton은 계정 탈취 및 의심스러운 금융 활동의 위험을 줄이는 데 도움을 줍니다.

간단한 설정과 중앙 집중식 제어를 통해 Norton은 팀의 속도를 저하시키지 않으면서도 스마트한 보호 기능을 추가합니다. 이는 귀하의 비즈니스에서 보내고 받는 모든 이메일에 대한 약점이 줄어들고 방어력이 강화되며 자신감이 높아진다는 것을 의미합니다.

FAQ

가장 일반적인 BEC 예는 무엇인가요?

BEC의 가장 일반적인 사례 중 하나는 CEO 사기입니다. 직원은 회사 CEO로부터 은행 송금이나 기프트 카드 구매를 요청하는 것으로 보이는 긴급 이메일을 받았습니다. 빠르게 행동해야 한다는 압박감이 이를 효과적으로 만듭니다.

BEC는 사이버 보안에 어떤 영향을 미치나요?

BEC는 이메일 제어, 신원 보호, 내부 프로세스의 격차를 드러냅니다. 공격이 성공하면 금전적 손실, 데이터 침해, 신뢰 손상 등이 발생할 수 있습니다. 또한 강력한 모니터링과 액세스 제어가 사이버 보안 계획의 필수적인 부분인 이유를 보여줍니다.

BEC 탐지를 위해 회사에서 어떤 도구를 사용할 수 있나요?

보안 이메일 게이트웨이, MFA, 도메인 모니터링 및 행동 기반 위협 탐지 도구를 사용할 수 있습니다. Norton Small Business와 같은 솔루션은 장치와 계정 전체에 대한 가시성과 보호를 강화하는 데도 도움이 될 수 있습니다. 말할 것도 없이 직원 교육과 명확한 결제 확인 프로세스는 의심스러운 활동을 조기에 포착하는 데 중요한 역할을 합니다.

비즈니스 이메일 침해에 사용되는 다른 이름은 무엇입니까?

EAC(이메일 계정 손상)라고도 알려진 비즈니스 이메일 손상은 사이버 범죄의 한 형태입니다. 이 경우 CEO 사기, 공급업체 송장 사기, 급여 유용 사기와 같은 특정 사기 유형을 찾을 수 있으며, 각 유형은 서로 다른 각도를 사용하여 사용자를 속여 돈이나 데이터를 보내도록 합니다.

편집자 주: 우리 기사는 교육 정보를 제공하며 사이버 안전의 중요한 주제에 대한 인식을 높이기 위해 작성되었습니다. Norton 제품 및 서비스는 당사가 언급하는 모든 유형의 위협, 사기 또는 범죄로부터 보호되지 않을 수 있습니다. 기사를 조사하고 작성하고 검토하는 방법에 대한 자세한 내용은 편집 정책을 참조하세요.