First Horizon Bank가 기업 고객을 사칭한 전화와 보안 토큰 재발급 이후 발생한 대규모 전신송금과 관련해 두 건의 소송에 직면했다. 두 사건의 송금액은 합계 2,400만달러를 넘으며, 이 가운데 일부는 아직 회수되지 않았다. 소송은 은행 고객센터의 본인 확인 절차, 기업 계좌의 보안 설정, 유사한 사기 연락을 은행이 얼마나 신속하게 식별했는지를 쟁점으로 삼고 있다.
이틀 동안 두 기업 계좌에서 650만달러 이체
플로리다주 올랜도 지역 기업인 K&A Rosario Holdings와 MJR Fund는 올해 5월 올랜도 연방법원에 First Horizon을 상대로 소송을 제기했다. 소장에 따르면 3월 3일 한 전화 발신자는 K&A를 운영하고 MJR를 관리하는 Misael Rosario라고 주장했다. 그는 “아이폰14로 교체했다”며 기업 계좌에 접근하기 위한 보안 토큰을 다시 발급해 달라고 요청했다.
First Horizon 고객센터는 이후 해당 요청에 따라 토큰을 재발급했다. 은행의 기업 계좌 안내에 따르면 보안 토큰을 휴대전화 애플리케이션에 등록하면 60초마다 새로운 코드가 생성된다. 기업 고객은 결제를 실행할 때 이 코드와 비밀번호를 함께 입력해야 한다.
약 80분 뒤 한 계좌에서 모두 6건의 전신송금이 실행됐고, 금액은 485만달러에 달했다. 3월 5일까지 두 회사 계좌에서는 총 12건, 약 650만달러의 송금이 빠져나갔다. 소장에 따르면 이 중 450만달러 이상은 현재까지 회수되지 않았다.
K&A와 MJR를 대리하는 변호사 Victor Velarde는 두 회사가 발신자가 온라인뱅킹 로그인 정보를 어떻게 확보했는지 알지 못한다고 밝혔다. 소장에는 발신 전화번호가 캘리포니아에서 걸려온 것으로 나타났지만 두 기업의 관리자는 플로리다에 거주하고 있으며, 은행에 등록한 전화번호도 플로리다 번호뿐이었다는 내용이 담겼다. 발신자는 Rosario의 이름을 말하는 과정에서도 서로 다른 두 가지 발음을 사용한 것으로 기재됐다.
로펌 계좌에서도 1,730만달러 빠져나가
약 5주 전에는 플로리다주 팜비치의 로펌 Rabideau Klein에서도 유사한 사건이 발생했다. 별도 소장에 따르면 한 발신자는 같은 방식으로 “새 아이폰을 사용하게 됐다”고 말하며 은행에 보안 토큰 재발급을 요청했다. 그로부터 수시간 안에 로펌의 에스크로 계좌에서는 13건의 전신송금이 실행됐고, 총액은 약 1,730만달러였다.
해당 계좌에는 부동산 거래의 에스크로 자금이 보관돼 있었다. 로펌은 약 1,070만달러를 회수했지만 약 655만달러는 아직 되찾지 못한 상태라고 소장은 밝혔다.
사건은 1월 27일 시작됐다. 피싱 이메일을 통해 공격자가 로펌의 Microsoft 365 이메일 계정 중 하나에 침입했다. 다음 날 공격자는 통신 서비스 업체를 설득해 로펌의 전화가 자신이 통제하는 번호로 연결되도록 했다. 그날 밤에는 First Horizon 온라인뱅킹의 ‘사용자 ID 또는 비밀번호 찾기’ 기능을 이용해 Guy Rabideau의 비밀번호를 재설정하고 사용자 ID를 확보했다.
이후 공격자는 은행에 전화해 Rabideau라고 주장하며 토큰 재발급을 요청했다. 은행 직원이 계좌번호를 묻자 발신자는 처음에는 “그들의” 계좌번호를 찾고 있다고 답한 뒤 관련 정보를 제시했다. 그는 은행 기록과 완전히 일치하지 않는 기업명, Rabideau의 사회보장번호 뒤 네 자리, 그리고 은행 웹사이트에 방금 표시된 사용자 ID도 제공했다.
은행의 자금관리 부서로 전화가 연결된 뒤 다른 상담원은 사용자 ID, 전체 이름, 이메일 주소, 계좌번호 뒤 네 자리를 확인하고 로펌에 등록된 전화번호로 인증번호를 보내겠다고 했다. 발신자는 인증번호를 음성 전화로 받게 해 달라고 요청했고 상담원은 이를 허용했다. 인증 전화는 공격자가 통제하는 번호로 연결됐다. 은행은 이후 이메일로 토큰 활성화 링크를 보냈고, 공격자는 이 링크도 가로챘다.
소장에 따르면 은행 로그에는 그 뒤 수시간 동안 시카고에서 접속한 기록이 남았다. 공격자는 Rabideau 명의로 두 번째 사용자 ID를 만들고 자신의 이메일 주소와 전화번호를 연결했으며, 로펌 직원 4명의 온라인뱅킹 접근 권한도 차단했다.
두 사건의 전신송금에는 Shaoxing Fanshun Import and Export라는 동일 기업으로 향한 거래가 포함돼 있었다. K&A의 소장에 따르면 K&A 계좌에서는 이 회사로 4건, 총 229만달러가 송금됐다. 두 기업 사이에 다른 연관성이 있는지는 소송 자료에 설명돼 있지 않다.
First Horizon “시스템과 통제 절차는 정상 작동”
테네시주 멤피스에 본사를 둔 First Horizon은 Rabideau Klein 사건에서 위험을 효과적으로 차단하지 못했다는 주장을 부인하고 있으며, 두 건의 소송에 대응하고 있다. 은행 대변인은 관련 “시스템과 통제 절차, 보호 장치가 모두 의도한 대로 작동했다”고 밝혔다. K&A와 MJR 사건에 대해서는 적극적으로 방어하겠다는 입장이다.
First Horizon은 Rabideau Klein 사건의 손실이 로펌 자체의 보안 문제에서 비롯됐다고 주장했다. 은행은 피싱 이메일이 사건의 출발점이었으며, 로펌이 은행이 앞서 권고한 전신송금 이중 승인 통제도 도입하지 않았다고 밝혔다. 이 통제는 전신송금이 실행되기 전에 두 번째 사용자가 각각의 거래를 확인하도록 하는 방식이다. 로펌이 제출한 자료에는 해당 기능을 활성화하지 않겠다는 서류에 서명한 사실이 담겨 있다.
Velarde는 K&A와 MJR가 어떤 보안 절차도 스스로 포기하지 않았다고 말했다. 다만 두 회사가 이중 승인 기능을 사용했는지는 밝히지 않았다. First Horizon은 보안 토큰 재발급을 요구한 발신자의 신원을 어떤 방식으로 확인했는지, 1월 사건 이후 관련 절차를 변경했는지도 공개하지 않았다.
은행이 유사한 사기 단서를 알고 있었는지가 쟁점
K&A와 MJR는 소장에서 First Horizon이 3월 이전부터 유사한 수법을 알고 있었을 가능성을 제기했다. 소장에 따르면 Rabideau Klein이 1월 29일 사기 피해를 신고한 뒤 은행은 누군가가 아이폰을 교체했다는 이유로 고객 계좌에 접근하고 있으며, Shaoxing Fanshun으로 향한 전신송금이 사기와 관련됐을 가능성을 이미 “실제로 인지”하고 있었다.
K&A 측은 이러한 사실이 은행의 보안 절차가 미국 통일상법전(UCC) 제4A조가 요구하는 ‘상업적으로 합리적인’ 기준을 충족했는지 판단하는 데 영향을 줄 수 있다고 주장한다. 이 조항은 전신송금에 대한 책임 배분에 적용되는 경우가 많다. 승인되지 않은 전신송금이 발생하면 일반적으로 은행이 손실을 부담할 가능성이 있지만, 은행이 선의로 행동하고 고객이 동의한 상업적으로 합리적인 보안 절차에 따라 거래를 처리했다면 책임 구조가 달라질 수 있다.
First Horizon은 K&A 소장에 포함된 관련 주장을 삭제해 달라고 신청했다. 원고 측 변호사가 다른 무관한 소송에서 관련 내용을 가져왔으며, 본 사건과 맞지 않고 부적절하다는 이유다. K&A 측은 2012년 법원 판결을 근거로, 은행이 자체적으로 확보한 사기 경고 신호에 대응하지 않았다면 보안 절차의 합리성을 판단하는 방식이 달라질 수 있다고 맞섰다.
금융당국 지침, 등록번호와 시스템 검증 강조
연방금융기관검사협의회는 2021년 지침에서 고객센터와 IT 헬프데스크가 사회공학 공격의 통로로 악용될 위험을 은행이 주의해야 한다고 안내했다. 지침에는 일회용 인증번호를 사전에 등록된 통신기기로 전송하고, 고객이 미리 등록한 전화번호로 다시 연락하며, 식별할 수 없는 발신번호를 표시하는 통제 방안이 포함됐다. 전화번호나 통신사업자가 변경된 경우를 위한 별도 절차도 제시됐다.
Rabideau Klein 사건에서 은행은 실제로 로펌에 등록된 번호로 인증번호를 보냈다. 그러나 공격자가 그보다 앞서 통신 서비스 업체를 설득해 해당 번호를 자신이 통제하는 번호로 연결해 둔 상태였다. 등록번호로 인증번호를 보내는 것만으로는 실제 수신자가 고객 본인인지 확인하기 어려울 수 있다는 점이 드러난 셈이다.
Datos Insights의 사기 및 자금세탁방지 부문 전략 자문역 Jim Mortensen은 이름 철자나 사회보장번호 뒤 네 자리와 같은 지식 기반 질문만으로는 현재의 보안 모범 사례를 충족하기 어렵다고 말했다. 기업 고객이 보안 토큰을 다시 신청할 때는 등록된 번호로 회신하고, 두 번째 관리자가 요청을 확인하도록 해야 한다는 설명이다.
Mortensen은 재설정 승인이 시스템 기반의 신원 확인보다 고객센터 직원의 판단에 크게 의존할수록 사회공학 공격이 성공하기 쉬워진다고 지적했다. 두 소송의 핵심은 결국 당시 First Horizon이 적용한 본인 확인 절차, 고객사의 계좌 보안 설정, 그리고 은행이 반복되는 사기 단서를 어느 정도 파악하고 있었는지를 법원이 어떻게 판단하느냐에 달려 있다.