공급업체 마스터 은행 변경 사기 통제: 공급업체 은행 정보 변경 검증

공급업체 마스터 계좌 변경 사기란 무엇인가요?

공급업체 마스터 계좌 변경 사기는 구매자가 실제 공급업체의 은행 계좌를 사기꾼이 통제하는 계좌로 교체하도록 속이는 수법입니다. FBI의 2017년 오월 4일 발표에서는 2016년까지 접수된 신고를 바탕으로, IC3가 사칭된 것으로 보이는 요청으로 인해 공급업체의 송금 위치가 변경되어 모든 수취 인보이스 대금이 다른 곳으로 우회된 사례들을 보고했습니다. FBI의 2016년 유월 14일 발표에 따르면, 이러한 요청은 전화, 팩스 또는 이메일로 도착하며 실제 요청과 매우 유사합니다.

이 가이드는 기존 공급업체 정보의 변경 사항을 다룹니다. 신규 공급업체의 은행 정보 수집 방법은 다음에서 다룹니다: 위험 단계별 공급업체 온보딩 가이드. 이 정보가 이어지는 지급 경로는 다음에서 설명합니다: 조달에서 지급까지(P2P) 아키텍처 가이드.

이 사기는 어떤 프로세스 허점을 악용하나요?

참고 자료인 AFP의 2026 조사 보고서에서는 2025년 상황을 설명한 자금 관리 실무자 465명의 응답을 바탕으로, 사기꾼들이 주로 공급업체나 임원으로 위장하여 대금 지급 지시를 변경하도록 유도한 것으로 나타났습니다. 동일한 보고서에서는 두 명의 익명 응답자가 그 허점을 보여줍니다. 자금 부서에서 확인하기 전에 주요 공급업체의 신규 은행 계좌가 입력되었고, 또 다른 사례에서는 고객을 사칭한 누군가가 새로운 정보를 보내자 매입채무(AP) 부서가 해당 이메일에 기재된 번호로 전화를 걸었습니다.

참고 자료인 응답자들의 사기 시나리오에 관한 AFP의 2026년 오월 기사에서는 일부 사건에서 담당 팀이 유선 확인(콜백) 단계를 건너뛰거나 이메일로 확인을 수락했으며, 심지어 요청이 전달된 바로 그 이메일 스레드 내에서 확인을 처리한 경우도 있었습니다.

참고 자료인 AFP의 2024 설문조사 보고서 (자금 관리 실무자 대상, 2023년 기준)에서 저자들은, 공급업체 마스터 프로세스에서 적절한 검증 없이 공급업체 은행 정보를 변경하는 침해된(compromised) 직원으로부터 지급이 발생할 수 있으며, 한 응답자는 탈취된 로그인 자격 증명이 은행 정보 변경 시도에 사용되었다고 보고했다고 언급했습니다.

콜백을 통해 은행 계좌 정보 변경을 어떻게 확인해야 합니까?

참고 자료인 미 연방수사국(FBI)의 2016 발표에 따르면, 기업은 공급업체와의 관계 초기 단계에서 이메일 외의 별도 전화 채널을 구축해야 하며, 요청서에 기재된 번호가 아닌 사전에 알고 있는 번호를 사용해야 합니다. AFP의 2026 조사 보고서에서는 응답 조직의 94%가 공식 기록에 있는 번호를 통해 승인된 수취인 담당자에게 전화하여 자금 이체 요청을 검증한다고 밝혔으며, 해당 사용자 중 63%는 자체 평가를 통해 이를 매우 효과적이라고 평가했습니다.

참고 자료인 AFP의 2026년 오월 시나리오 기사에 따르면, 고객의 변경된 은행 정보와 관련된 시도가 모순점이 드러나기 전에 전화 확인을 통과했고, 침해된 공급업체 사서함이 유효해 보이는 문서를 보냈으며, 은행을 사칭한 발신자가 해당 은행의 실제 번호를 사용했습니다.

이 가이드의 관점에서 볼 때, 해당 통화는 발신 전화여야 하며, 관계 초기나 요청 전에 마지막으로 검증되었고 그 이후 변경되지 않은 바이어의 기록에 있는 번호로, 요청을 받지 않은 사람이 걸고 기록에 남겨야 합니다. 같은 관점에서, 새 계좌를 보여주는 서한과 명세서는 파일을 뒷받침하지만 누가 요청했는지는 보여주지 않습니다.

참고 자료인 FBI의 2017년 5월 발표에서 FBI는 비즈니스 연락처가 개인 이메일 주소로 연락해 달라고 갑자기 요청하는 경우 사기일 수 있다고 지적합니다. 이 가이드의 관점에서 볼 때, 공급업체의 전화번호, 이메일 주소 또는 지정된 연락처의 변경은 은행 정보 변경과 마찬가지로 동일한 보류, 이전에 확인된 연락처로의 콜백, 승인 및 기록 절차를 거쳐야 합니다. 등록된 연락처를 대체하는 자가 이후의 전화를 받기 때문입니다.

누가 변경 사항을 접수, 검증, 승인 및 실행(릴리스)해야 하는가?

참고 자료인 2014 동료 평가를 거친 직무 분리 모델(본 가이드에서는 초록만 참고)에서 케빈 코벨스키(Kevin Kobelsky)는 직무 분리를 어느 누구도 오류나 사기를 저지르고 숨길 수 없도록 업무를 배분하는 것으로 정의하며, 그의 모델은 시스템 접근 권한 부여와 승인을 별개의 직무로 다룹니다. 동일한 초록(abstract)에 따르면, 이 모델은 IT 지원 업무에서 일차 분리를 위해 최소 세 명, 이차 분리를 위해 다섯 명이 필요합니다. 따라서 본 가이드의 관점에서 볼 때 소규모 사업장에는 보완적 검토가 필요합니다.

참고 자료인 딜로이트(Deloitte)의 COSO 프레임워크 요약에서는 직무 분리는 일반적으로 통제 활동 선정 방식의 일부이며, 분리가 현실적으로 불가능한 경우 경영진이 대체 통제 수단을 선택합니다. 동일한 요약에 따르면, 데이터 입력과 승인을 분리하는 것은 관련 담당자들 간에 담합이 없는 경우에만 리스크를 낮춥니다.

참고 자료인 지급 위치 변경에 관한 FBI의 2016 지침에서 FBI는 회사 직원에 의한 이차 승인이 두 번째 인증 요소 역할을 할 수 있다고 언급합니다. 본 가이드의 관점에서, 수신자, 검증자, 승인자, 지급 실행자는 서로 다른 네 명이어야 하며, 이러한 역할이 시스템 전반에서 어떻게 교차 적용되는지는 다음에서 설명합니다: 조달-대금 지급(P2P) 통제 가이드.

이 가이드의 관점에 따르면, 다중 사이트 바이어에게는 단 하나의 중앙 집중식 접수 창구가 필요합니다. 어느 사이트나 매입채무(AP) 메일박스에서 요청을 받더라도 이를 수정 없이 그대로 전달해야 하며, 임의로 입력하거나 직접 응답해서는 안 됩니다. 이후 공급업체당 한 번의 검증을 통해 모든 ERP, 회사 코드 레코드가 커버되며, 포털, 마스터 데이터 허브, 인터페이스 및 대량 업로드 변경 건에 대해서도 동일한 보류 및 콜백 절차가 적용됩니다.

긴급 변경 요청은 어떻게 처리해야 합니까?

참고 자료인 AFP의 2026 조사 보고서에서 저자들은 지급 전까지의 여유 시간이 사기 예방에 도움이 될 수 있으므로 표준 대금 지급 주기에 대한 명확한 정책을 수립하고, 즉시 지급이나 긴급 지급을 면밀히 검토할 것을 권장합니다. 미 연방수사국(FBI)의 2017 발표에서는 비밀 유지나 신속한 처리를 요구하는 것이 경고 신호이며, 일부 은행은 확인을 위해 해외 전신 송금 요청을 더 오래 보류했다고 보고했습니다.

본 가이드의 관점에 따르면 긴급 상황일수록 절차를 더 신중하게 밟아야 합니다. 콜백과 승인이 완료될 때까지 신규 계좌에는 어떠한 대금도 지급되지 않으며, 긴급 상황 시에는 등록된 다른 담당자에게 두 번째 확인 전화를 걸어야 합니다. 이와 마찬가지로 그 사이에 지급 기한이 도래한 인보이스는 대기 상태로 두거나, 공급업체의 검증된 담당자가 계좌가 여전히 유효하다고 확인한 경우에 한해 이미 한 차례 검증된 기존 계좌로 송금해야 합니다. 검토된 자료 중 보류 기간을 따로 설정하는 경우는 없습니다.

자동화된 은행 계좌 유효성 검사는 무엇을 보여줄 수 있나요?

참고 자료인 Nacha 계좌 검증 페이지(2026년 십일월 14일 열람)에 따르면, 유효성 검증은 대금을 송금하는 모든 이에게 모범 사례로 꼽힙니다. 동일한 Nacha 페이지에 따르면, 이를 요구하는 규칙은 2021년 삼월 19일부터 시행 중이며 온라인 소비자 출금을 위한 최초 사용 소비자 계좌 정보를 다루고, 본 가이드의 해석상 그 범위는 공급업체의 신규 계좌까지는 미치지 않습니다. 해당 규칙의 방식 중립적 접근 방식에서는 사전 통지(prenotification), 소액 입금(micro-entry), 그리고 통합 데이터 또는 온라인 뱅킹 인증 정보를 사용하는 상업용 서비스가 옵션에 포함됩니다.

본 가이드의 관점에서 검증 결과는 누가 변경을 요청했는지 보여주지 않으므로 유선 확인(콜백)을 대체할 수 없습니다. 해당 결과는 참고 기록 중 하나로 보관하십시오.

휴면 및 중복 공급업체 레코드는 어떻게 처리해야 할까요?

검토된 공식 자료나 연구 자료 중 휴면 레코드나 중복 레코드를 다룬 곳은 없으므로, 이 섹션은 본 가이드의 자체 분석입니다. 구매자가 설정한 기간 동안 지급 내역이 없는 레코드는 차단하여 재활성화 시 은행 정보 변경과 동일한 검증을 거치게 하고, 지정된 담당자가 올바른 은행 정보를 확인한 경우 다른 은행 정보가 포함된 중복 레코드는 병합하거나 차단하십시오. 이러한 검사는 일정에 따라 다음의 일환으로 실행하십시오. 온보딩 이후 공급업체 라이프사이클 거버넌스.

변경 이력 로그는 감사인에게 무엇을 증명해야 하는가?

참고 자료인 딜로이트의 COSO 요약에 따르면, 통제 정책은 문서화하고 정기적으로 평가하며 특정 필요성이 발생할 때마다 검토해야 합니다. 또한 IT 시스템은 접근을 제한하고 직무 분리를 지원할 수 있도록 설정되어야 합니다. 본 가이드의 관점에서 변경 로그는 구매 담당자가 감사인에게 제시할 수 있어야 하는 기록이며, 아래의 프로토콜은 각 단계가 남기는 결과물을 나열합니다.

변경된 계좌가 사기성인 것으로 판명되면 어떻게 해야 합니까?

참고 자료인 IC3의 BEC 페이지(2026년 십일월 14일 열람)에서 FBI는 즉시 송금 은행에 자금 회수 또는 반환 및 면책 보증서(hold harmless or indemnity letter) 발급을 요청하고 상세한 IC3 신고를 접수할 것을 권고합니다. 본 가이드의 관점에서, 재무팀은 해당 은행에 연락하고, 조달팀은 모든 ERP에서 해당 공급업체의 대금을 지급 보류하며, 보류 중인 지급 실행 목록에서 제외하고, 검증된 연락처로 실제 공급업체에 전화하여 회수 및 법적 대응을 담당하는 재무, 보안 및 법무팀을 위해 증거를 보관합니다.

AI 에이전트는 은행 정보 변경 검증 방식을 어떻게 바꿀 것인가?