미국 공군 도버 기지에서 근무했던 전직 군인 두 명이 여러 해에 걸쳐 기업 이메일을 노린 BEC(비즈니스 이메일 침해) 사기와 피싱을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소형을 선고받았습니다. 이들은 직원들의 이메일 계정을 훔치고, 거래처 이메일을 흉내 낸 가짜 주소를 만들어 결제 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주 피해자의 168만 달러, 오하이오주 피해자의 72만 달러 송금을 가로챈 사례가 대표적이며, 그 외에도 수많은 송금 탈취 시도가 있었습니다. FBI에 따르면 지난해에만 BEC 피해 신고가 2만 4천여 건, 피해액은 30억 달러를 넘어 여전히 기업을 위협하는 주요 사이버 범죄로 꼽힙니다.
전직 미 공군 소속 두 명이 여러 해에 걸쳐 기업 이메일 계정을 탈취하고 거래처를 사칭한 스푸핑 이메일로 대금을 가로채는 BEC 사기를 벌이다 적발되어 각각 111개월, 78개월의 징역형을 선고받았다.
아이오와주 피해자에게서 168만 달러, 오하이오주 피해자에게서 72만 달러를 포함해 여러 기업의 송금이 탈취되거나 탈취 시도되었다.
피싱·스팸 캠페인으로 직원 이메일 계정 자격증명을 훔치고, 거래처를 사칭한 스푸핑 이메일과 훔친 계좌·카드 정보를 함께 이용해 결제를 가로챘다.
미 법무부가 두 사람을 기소해 각각 111개월(배상금 366,617.59달러), 78개월(배상금 995,680.45달러) 징역형과 3년 보호관찰을 선고했다.
BEC는 이메일 계정 탈취와 거래처 사칭 결합 공격이므로, 계좌 변경 요청은 반드시 별도 채널로 재확인하고 이메일 계정에 다중 인증을 적용해야 한다.
본문
미국 공군 소속이었던 두 명이 다년간 이어진 비즈니스 이메일 침해(BEC, Business Email Compromise) 사기 및 피싱 캠페인에 가담한 혐의로 합산 189개월의 연방 교도소형을 선고받았다.
법원 문서에 따르면, 25세의 Chijioke Timothy Odimegwu와 26세의 Harafat Mogaji는 델라웨어주 도버 공군기지(Dover Air Force Base)에 배치되어 있던 시기에 이러한 공격을 벌였다.
이들은 스팸 및 피싱 캠페인을 통해 피해자들의 직원 이메일 계정 자격증명을 훔쳤다. 이후 피고인들은 거래처의 이메일을 흉내 낸 "스푸핑(spoofed)" 이메일 주소를 훔친 자격증명과 함께 이용해, 결제 대금을 미국 내 및 해외의 공범들이 관리하는 계좌로 돌렸다.
Odimegwu와 Mogaji는 또한 공범들로부터 추가로 구매한 데이터와 함께, 피해자들의 도용된 금융 정보(예: 계좌 정보, 개인 식별번호, 신용·체크카드 번호)를 이용해 피해자 모르게 금융 거래를 수행하기도 했다.
법무부(Department of Justice)는 화요일 보도자료에서 "미국 내와 해외의 공모자들과 함께 일하며, Odimegwu와 Mogaji는 아이오와주 아이오와시티(Iowa City)의 한 피해자가 보낸 168만 달러 이상의 송금을 사기적으로 시카고의 공모 조직이 관리하는 계좌로 돌렸다"고 밝혔다.
"이들은 또한 오하이오주의 한 피해자가 보낸 72만 달러 이상의 송금을 공모 조직이 관리하는 계좌로 돌렸다. 이는 Odimegwu와 Mogaji가 아이오와주 및 전국 각지의 기업들을 상대로 시도한 다른 수많은 송금 탈취 시도에 더해진 것이다."
Odimegwu는 111개월의 징역형과 366,617.59달러의 배상금 지급을 선고받았고, Mogaji는 78개월의 징역형과 995,680.45달러의 배상금 지급을 선고받았다. 연방 교도소 형기를 마친 후, 두 사람 모두 3년의 보호관찰 기간을 거쳐야 한다.
BEC 사기에서 사이버 범죄자들은 피해자의 탈취된 이메일 계정을 이용해 청구 부서를 속여 새로운 계좌 정보를 승인하게 만드는 방식으로, 정당한 기업 결제 대금을 공격자가 관리하는 은행 계좌로 돌린다.
공격자들은 대금을 받으면 자금 세탁책(money mules)을 이용해 신속히 계좌를 비우거나, 자금 동결을 명령하는 법원 명령을 피하기 위해 자신들이 관리하는 여러 다른 계좌로 자금을 이체한다.
BEC 공격은 막대한 금전적 손실을 초래할 수 있기 때문에 피해자의 사업 운영에 심각한 타격을 줄 수 있다. FBI가 2025년 인터넷 범죄 보고서(2025 Internet Crime Report)에서 밝혔듯이, 비즈니스 이메일 침해는 여전히 주요한 사이버 위협으로 남아 있으며, 지난해 24,768건의 신고와 30억 달러 이상의 손실이 기록되었다.
올해 초인 7월에는, 가나 국적의 Derrick Van Yeboah가(2025년 8월 미국으로 송환된 후) 미국 전역의 피해자들로부터 비즈니스 이메일 침해 공격과 로맨스 스캠을 통해 1억 달러 이상을 갈취한 대규모 사기 조직의 고위 조직원 역할을 한 혐의로 85개월의 징역형을 선고받았으며, 2025년 8월 미국으로 송환되어 2026년 3월 유죄를 인정한 바 있다.
