거래처를 사칭한 이메일에 속아 가짜 계좌로 송금했다면: 해야 할 일과 실제 거래처에 대한 지급 의무

경리 부서에 평소 거래처에서 이메일이 옵니다. 발신자 이름, 로고, 서명이 늘 보던 것과 같습니다. 은행을 바꿨으니 이번 대금은 새 계좌로 보내 달라는 내용이고, 수정된 청구서가 첨부되어 있습니다. 회사는 요청대로 송금합니다. 몇 주 뒤 실제 거래처가 대금을 독촉하는 전화를 걸어 오고, 그제야 그 이메일이 거래처가 보낸 것이 아니었음을 알게 됩니다.

이 가이드는 송금을 하고 피해를 입은 회사를 위해 작성되었습니다. 즉시 해야 할 일, 보전해야 할 증거, 실제 거래처에 계속 지급해야 하는지, 앞으로 갖춰야 할 지급 통제 절차를 다룹니다. 피해자가 온라인에서 속아 송금한 개인이라면 온라인 사기 피해를 입었을 때를 대신 보십시오.

핵심 답변

다음 세 가지를 순서대로 하십시오. 첫째, 송금한 은행에 알리고 신속히 고소·신고합니다. 돈이 오래 머물수록 옮겨질 가능성이 커지지만, 돌려받을 수 있다고 보장할 수 있는 사람은 없습니다. 둘째, 누군가 삭제하거나 재설정하기 전에 원본 증거, 특히 헤더가 완전한 이메일과 시스템 로그를 보전합니다. 셋째, 이미 알고 있는 연락 경로로 실제 거래처와 이야기하여 남은 채무의 처리를 정합니다.

법적 근거 민상법전 제315조는 채권자 또는 채권자를 대신해 수령할 권한이 있는 사람에게 변제하도록 정하고 있습니다. 권한 없는 사람에게 한 변제는 채권자가 추인할 때 유효해집니다. 제316조는 권리자로 보이는 사람에게 선의로 한 변제를 유효로 봅니다. 따라서 범인의 계좌로 송금했더라도 원칙적으로 실제 거래처에 대한 채무는 소멸하지 않습니다. 다만 손실을 누가 얼마나 부담하는지는 입금 계좌에 관한 계약 조항, 어느 쪽의 이메일 시스템이 침해되었는지, 각 당사자가 합리적인 확인을 했는지에 따라 달라집니다.

1. 피해를 알게 된 첫 1시간 동안 회사는 무엇을 해야 하나요

다음 순서대로 진행하고, 한 사람이 각 단계의 시각을 기록하십시오.

1. 송금한 은행에 전화합니다. 법인 계좌 담당자와 은행의 사기 신고 창구에 모두 연락하십시오. 수취 계좌번호, 예금주, 수취 은행, 일시, 금액, 거래 참조번호를 알리고, 수취 은행에 연락해 자금을 동결해 달라고 요청합니다. 해외 송금이라면 은행 간 송금망을 통한 자금 반환 요청(recall)을 청구하십시오. 응대한 담당자의 이름과 접수번호는 매번 적어 두십시오.
2. 해당 거래처에 대한 미지급 건을 모두 중단하고, 시스템에서 거래처 계좌 정보를 수정하는 것도 막아 둡니다. 같은 시기에 다른 거래처로부터 계좌 변경 통지를 받은 일이 없는지 확인하십시오.
3. 계약서나 기존 거래처 등록 정보에 있는 전화번호로 실제 거래처에 연락합니다. 계좌 변경 통지에 적힌 번호나 이메일 주소는 절대 사용하지 마십시오.
4. 범인의 이메일에 회신하지 말고, 아무것도 삭제하지 마십시오. 회신하면 범인이 눈치채고 돈을 더 서둘러 옮깁니다.
5. 수사관에게 고소·신고합니다. 회사는 법인으로서 피해자이므로 대표 권한이 있는 이사가 직접 가거나 서면으로 위임해야 합니다. 회사 사실증명서(회사 등기 증명서), 위임장, 권한 있는 이사와 수임인의 신분증, 제2장의 증거를 준비하십시오. 먼저 온라인으로 신고하여 접수번호를 빨리 받고, 이후 서류 일체를 가지고 출석해 진술하는 방법도 쓸 수 있습니다.
6. 보험회사에 알립니다. 사기나 사이버 사고로 인한 손해를 보장할 수 있는 보험에 가입되어 있는 경우입니다. 보험에는 통지 기한과 증거 보전 조건이 정해져 있는 경우가 많습니다.
7. IT 담당 부서가 먼저 시스템 로그를 보전하게 한 뒤에 취약점을 막습니다. 예를 들어 비밀번호 변경, 2단계 인증 활성화, 범인이 설정했을 수 있는 자동 전달 규칙 점검입니다.

"자금을 추적해 주겠다"며 선금을 요구하고 결과를 보장하는 사람을 조심하십시오. 그런 보장은 누구도 할 수 없습니다.

2. 어떤 증거를 어떻게 보관해야 사용할 수 있나요

좋은 증거는 시간순으로 정리할 수 있는 원본 자료입니다. 화면 캡처만으로는 부족한 경우가 많습니다.

그다음 한 장짜리 타임라인을 만드십시오. 가장 최근의 진짜 청구서, 계좌 변경 이메일, 거래처 등록 정보 수정, 승인, 송금, 알게 된 날, 은행 신고, 고소·신고의 순서로 정리합니다. 증거 보관 책임자는 한 명만 지정하고, 원본은 보관하며, 변호사, 경찰, 보험회사에 줄 사본은 각각 따로 만드십시오.

3. 계좌 변경을 통지한 사람은 누가 했고, 내부 승인은 누가 해야 했나요

이 두 가지 질문이 거래처와의 협상과 내부 체계 개선을 포함해 전체의 방향을 정합니다.

통지한 쪽 계좌 변경 이메일은 보통 다음 세 가지 중 하나의 형태로 옵니다.

• 비슷하게 꾸민 도메인 예를 들어 한 글자만 철자가 다르거나 도메인 확장자가 다른 경우입니다. 이때는 거래처의 시스템이 전혀 침해되지 않았을 수 있고, 범인이 거래 정보를 다른 곳에서 입수한 것입니다.
• 거래처의 진짜 이메일이 침해된 경우 이메일이 거래처의 실제 주소에서 오고, 범인은 거래 내용을 읽으며 큰 대금 직전의 시점을 고릅니다.
• 우리 회사의 이메일이 침해된 경우 범인이 중간에서 청구서를 바꾸거나, 거래처의 이메일이 직원 받은편지함에 들어오지 않도록 규칙을 설정합니다.

어느 형태인지에 따라 어느 쪽이 손실을 막을 기회가 더 컸는지가 달라지므로, 결론을 내리기 전에 IT 전문가가 양쪽의 이메일 헤더와 시스템 로그를 읽도록 하십시오. 또한 계약상 거래처 측에서 입금 계좌 변경을 통지할 권한이 누구에게 있는지도 살펴야 합니다.

회사 내부의 승인 쪽 다음에 답할 수 있어야 합니다.

• 시스템에서 거래처의 계좌 정보를 수정한 사람은 누구이며, 어떤 서류를 근거로 했는가
• 회사에 계좌 변경을 확인하는 서면 절차가 있었는가, 그 절차가 생략되었는가
• 지급을 승인한 사람은 수취 계좌가 바뀐 것을 보았는가
• 정보를 수정한 사람, 승인한 사람, 송금을 실행한 사람이 같은 사람은 아닌가

이런 사안에서 직원 대부분은 선의로 속은 것입니다. 경리 직원에게 곧바로 책임을 돌리는 것은 사태 수습에 도움이 되지 않으며, 내부 정보가 더 이상 나오지 않게 되는 경우가 많습니다. 이유 없이 절차를 반복해서 생략하는 등 내부자가 가담했다고 의심할 만한 정황이 있다면 직원의 횡령과 내부 조사에 따라 별도의 내부 조사로 다루십시오. 누가 무엇을 승인할 수 있는지 정하는 방법은 결재 권한표를 보십시오.

4. 실제 거래처에 여전히 지급해야 하나요

출발점은 제315조입니다. 변제는 채권자 또는 채권자를 대신해 수령할 권한이 있는 사람에게 해야 합니다. 범인이 알려 준 계좌의 명의인은 둘 중 어느 쪽도 아닙니다. 따라서 실제 거래처에 대한 물품 대금 채무는 원칙적으로 소멸하지 않습니다. 거래처가 추인하는 경우는 예외인데, 실무에서는 거의 일어나지 않습니다.

제316조가 적용되는 범위는 좁습니다. 이 조항은 "채권의 준점유자"에게 선의로 변제한 사람을 보호합니다. 거래처를 사칭한 이메일을 보낸 범인이 여기에 해당하는지는 다툼의 여지가 있는 문제이며 사실관계에 달려 있습니다. 이 조항으로 채무를 면할 수 있으리라 전제하고 계획을 세워서는 안 됩니다.

협상의 무게를 바꾸는 요소

• 계약 조항 계약서나 주문서에 입금 계좌가 명시되어 있는지, 계좌 변경 통지 방법을 어떻게 정했는지(예: 권한 있는 사람이 서명한 서면), 위험을 어느 쪽이 부담하는지 정한 조항이 있는지.
• 누구의 시스템이 침해되었는가 이메일이 거래처의 실제 주소에서 왔거나, 거래처가 시스템 침해를 알고도 고객에게 경고하지 않았다면, 우리 회사가 침해된 경우와는 무게가 다릅니다.
• 알아챘어야 할 경고 신호 새 계좌가 개인이나 다른 회사 명의인 경우, 거래처가 태국 회사인데 계좌가 해외에 있는 경우, 재촉하거나 비밀을 요구하는 경우, 큰 대금 직전에 변경을 통지한 경우입니다.
• 회사가 자체 절차를 따랐는가 절차를 만들어 놓고도 지키지 않았다면 협상에서 입지가 약해집니다.

실무에서 볼 수 있는 해결 방식은 전액을 지급한 뒤 범인과 보험회사를 상대로 추적하는 것, 합의에 따라 손실을 나누어 부담하는 것, 남은 금액을 분할로 지급하는 것까지 다양합니다. 어떤 방식이든 서면 합의로 정하십시오. 지급하기로 한 금액, 나중에 추적되어 회수된 돈을 누가 받는지, 형사 사건에 대한 협조, 나머지 청구권의 포기를 적습니다.

해서는 안 되는 것은 거래처에 서면으로 답하지 않고 침묵하며 지급하지 않는 것입니다. 이행 지체로 볼 수 있고, 이자가 붙거나 납품이 중단되거나 계약이 해제될 수 있으며, 협상도 어려워집니다.

반대의 경우, 즉 우리 회사가 판매자이고 고객이 범인에게 송금한 경우에는 같은 원칙에 따라 대체로 고객에게 대금을 청구할 수 있습니다. 다만 먼저 우리 회사의 이메일이 침해되지 않았는지 확인해야 합니다. 고객이 가장 먼저 제기할 쟁점이기 때문입니다.

5. 과도한 기대 없이 은행, 경찰, 거래처와 어떻게 협력하나요

은행 송금한 은행은 수취 은행에 요청을 전달할 수 있을 뿐입니다. 자금을 동결할 수 있는지는 돈이 아직 남아 있는지, 수취 은행의 법적 절차에 달려 있습니다. 해외 송금이라면 그 나라의 법에도 좌우됩니다. 은행의 답변은 매번 서면으로 요청하십시오.

형사 절차 고소·신고는 자금 흐름을 추적하고 재산을 압류하거나 동결하는 길을 열어 줍니다. 그러나 돈이 회사로 돌아오려면 절차에 따른 명령이나 판결을 거쳐야 합니다. 회사 측 연락 담당자는 한 명으로 정하고, 사건번호와 담당 수사관의 이름을 증거와 같은 파일에 보관하십시오.

정부 기관의 사례 특별수사국(DSI)은 2025년 10월 10일, 물품 대금을 받기 위한 가짜 회사 30곳의 설립에 가담한 피의자를 체포했다고 발표했습니다. 발표에 따르면 피해자들은 입금 계좌 변경을 알리는 위조 이메일을 받고 태국과 아일랜드에 있는 가짜 회사 계좌로 물품 대금을 송금했습니다. 보도된 피해액은 약 360만 바트입니다. 이 사례는 사건의 유형을 보여 줄 뿐, 현재 이런 사건이 늘고 있는지 줄고 있는지를 말해 주는 것은 아닙니다.

실제 거래처 이미 알고 있는 경로로 이야기하십시오. 양쪽이 각자의 이메일 시스템을 점검하고, 관련 이메일 헤더를 교환하며, 사실관계를 공동으로 기록하자고 제안합니다. 이 단계에서의 협조는 금전 문제 협상을 훨씬 쉽게 해 주는 경우가 많습니다.

돈이 돌아온다는 것은 은행, 경찰, 변호사 누구도 보장할 수 없습니다. 할 수 있는 일은 신속한 대응과 완전한 증거로 가능성을 높이고, 명확한 합의로 나머지 손실을 제한하는 것입니다.

6. 우리 회사의 이메일이 침해되었다면 무엇을 더 해야 하나요

• 개인정보 측면을 평가합니다. 메일함에는 대개 고객, 직원, 거래처의 개인정보가 들어 있습니다. 개인정보 보호법 제37조는 개인정보처리자가 침해 사실을 안 때부터 72시간 이내에 개인정보보호위원회 사무국에 통지하도록 정하고 있습니다. 다만 개인의 권리에 위험을 줄 우려가 없는 경우는 제외합니다. 절차는 정보 유출 사고: 첫 대응에 있습니다.
• 고객과 거래처에 알립니다. 우리 회사의 입금 계좌는 바뀌지 않았다고 알리십시오. 메일함 안에 있는 범인이 고객에게 가짜 청구서를 계속 보낼 수 있기 때문입니다.
• 수정하기 전에 로그를 보전합니다. 로그를 보전하지 않고 시스템 전체를 재설정하면 범인이 언제 들어왔고 무엇을 보았는지 입증할 수 없게 됩니다.

7. 계좌 변경을 확인하는 절차는 어떻게 마련해야 하나요

좋은 절차가 복잡할 필요는 없지만, "급한 건"이라도 예외 없이 매번 시행해야 합니다.

• 다시 전화하여 확인합니다. 계약서나 기존 거래처 등록 정보에 있는 번호로만 걸고, 변경을 요청한 이메일이나 서신에 적힌 번호로는 걸지 않습니다. 누가, 누구와, 언제 통화했는지 기록합니다.
• 거래처의 확인 서류 권한 있는 사람이 서명한 계좌 변경 통지서와, 예금주가 거래처의 법인명과 일치함을 보여 주는 은행 서류를 받습니다. 개인 명의 계좌이거나 국내 거래처인데 해외 계좌인 경우는 경고 신호로 봅니다.
• 업무 분리 거래처 정보를 수정하는 사람, 지급을 승인하는 사람, 은행 시스템에서 송금을 실행하는 사람은 같은 사람이어서는 안 되며, 인터넷 뱅킹도 두 사람의 승인이 필요하도록 설정합니다.
• 지급 전 대기 기간 새로 바뀐 계좌는 첫 지급 전에 확인을 모두 마쳐야 합니다. 소액 시험 송금은 확인에 도움이 되지 않습니다. 돈이 도착했다고 답하는 사람이 범인일 수 있기 때문입니다.
• 변경 보고 경영진이 매달 수정된 거래처 계좌 목록을 볼 수 있게 합니다.
• 계약 조항 계약서나 주문서에 입금 계좌를 명시하고, 계좌 변경은 권한 있는 사람이 서명한 서면으로 하며 확인 전화를 거쳐야 한다고 정하고, 이메일 통지만으로는 입금 계좌가 바뀌지 않는다고 규정합니다.
• 직원이 알아야 할 경고 신호 재촉, 비밀 유지 요구, 새로운 담당자, 철자가 조금 다른 도메인, 큰 대금 직전의 변경 통지입니다.
• 이메일 시스템 IT 담당 부서가 2단계 인증을 켜고, 새 이메일 전달 규칙이 생기면 알림이 오도록 설정하고, 외부에서 온 이메일에 표시를 붙이게 합니다.

8. 체크리스트

피해를 알았을 때

• 송금한 은행에 전화하고 담당자 이름과 접수번호를 적어 둔다
• 미지급 건과 거래처 등록 정보 수정을 중단한다
• 기존 계약서에 있는 번호로 실제 거래처에 연락한다
• 권한 있는 이사 또는 수임인이 고소·신고한다
• 보험 약관에 따라 보험회사에 알린다

증거

• 헤더가 완전한 원본 이메일(위조본과 과거의 진짜 이메일 모두)을 내보낸다
• 청구서, 주문서, 계약서, 송금 증거
• 거래처 등록 정보 수정 이력과 승인 기록
• 비밀번호를 재설정하기 전의 이메일 로그인 기록
• 한 장짜리 타임라인과 증거 보관 책임자 한 명

실제 거래처와의 관계

• 입금 계좌와 변경 통지 방법에 관한 계약 조항을 읽는다
• 어느 쪽 이메일 시스템이 침해되었는지 함께 점검한다
• 거래처에는 서면으로 답하고 침묵하지 않는다
• 나중에 추적된 자금의 처리를 포함해 합의를 서면으로 한다

재발 방지

• 계좌 변경 요청이 있을 때마다 다시 전화하여 확인한다
• 정보를 수정하는 사람, 승인하는 사람, 송금하는 사람을 분리한다
• 계약서와 주문서에 계좌 변경 조항을 넣는다
• 경고 신호에 관해 직원을 교육한다

함께 읽으면 좋은 글

• 온라인 사기 피해를 입었을 때 — 피해자가 개인인 경우
• 직원의 횡령과 내부 조사 — 내부자 가담이 의심될 때
• 결재 권한표 — 지급과 정보 변경을 승인할 수 있는 사람
• 정보 유출 사고: 첫 대응 — 회사의 이메일이 침해되었을 때
• 기업을 위한 PDPA 체크리스트 — 사고 전에 갖춰야 할 체계
• 채권 추심, 재산 조사, 강제집행 — 판결을 받은 뒤
• 서비스: 계약서·비즈니스 문서 · 법률 고문 · PDPA

범인의 계좌로 송금했더라도 원칙적으로 실제 거래처에 대한 채무는 소멸하지 않습니다. 회사가 통제할 수 있는 것은 신고의 속도, 증거의 완전성, 거래처와의 서면 합의, 그리고 매번 시행하는 확인 전화 절차입니다.

첫 상담을 원하시면 +66 92 254 2045로 전화하시거나 상세 내용을 보내 주십시오. 저희는 증거와 타임라인 정리, 은행에 보내는 서면과 고소·신고에 첨부할 서류 작성, 실제 거래처와의 협상 및 합의서 작성, 계좌 변경 확인 절차를 계약서와 지급 매뉴얼에 반영하는 일을 도와 드립니다. 법률 고문도 함께 보십시오.

이 가이드는 수완와라 법률사무소가 발행했습니다 — 1986년에 설립된 콘깬(Khon Kaen) 주의 법률사무소입니다. 본 내용은 일반적인 정보일 뿐이며, 특정 사안에 대한 법률 자문이 아닙니다.