급여 직접입금 사기 이메일 구별법: 이런 이메일 왔을 때 이렇게 확인하세요
급여 담당자나 스태핑 업체에서 일하다 보면, 어느 날 이런 메일이 딱 옵니다.
“Thanks for letting me know. Please, send me the direct deposit information you have on file for him.”
이 글에 나온 문장은 실제 사건이 아니라, 현장에서 자주 보이는 패턴을 바탕으로 재구성한 예시입니다. 발신 주소는 처음 보거나, 이름은 익숙한데 뭔가 어색할 때가 많죠. 이게 진짜 요청인지, 급여 직접입금 사기 이메일인지 헷갈리기 쉽습니다.
핵심만 먼저 정리하면, 구별 포인트는 이 네 가지입니다.
- 대상이 모호하거나(‘him’, ‘her’만 언급) 본인확인이 전혀 없다
- 도메인이 살짝 다른 주소, 개인 메일로 온다
- “오늘 안에 꼭”, “지금 전화 어렵다” 같은 급박한 톤이다
- 기존 direct deposit 정보나 전체 계좌번호를 메일로 보내달라고 한다
이런 신호가 보이면, 메일에 답장하지 말고, 사내에 이미 등록된 전화번호나 다른 공식 채널로 다시 확인하는 게 우선입니다.
도입 예시 메일, 어디가 위험한가
위 예시 메일이 위험한 이유는 몇 가지입니다.
- “him”이라고만 하고 직원 실명·사번이 없다
- “그 직원이 본인이 맞는지” 확인하는 절차 언급이 전혀 없다
- 기존 direct deposit 정보를 통째로 보내달라고 한다
이런 요청은 전형적인 direct deposit 변경 요청 사기, 즉 payroll diversion·BEC 사기 payroll 패턴과 맞닿아 있습니다. 공격자는 보통:
- 기존 급여 계좌 정보를 받아 신원도용에 쓰거나
- “새 계좌로 바꿔 달라”며 급여가 자기 계좌로 떨어지게 만들려 합니다
특히 여러 고객사의 급여를 한 번에 처리하는 staffing 업체 급여 보안이 허술하면, 한 번 뚫렸을 때 피해와 대응 비용이 크게 불어날 수 있습니다.
급여계좌 변경 이메일, 이렇게 대응한다 (실무 기준)
현장에서 제가 적용해 온 기본 절차는 이렇습니다. 조직 상황에 맞게 조정해 참고하시면 좋겠습니다.
- 이메일만으로 처리하지 않는다는 원칙 세우기
- 메일로 급여계좌 변경·조회 요청이 와도,
→ 실제 처리는 사전에 등록된 전화번호로 직접 통화하거나
→ 사무실 방문 등 대면 확인 후 진행합니다.
- 이메일·메신저는 “요청 접수” 알림 수준으로만 사용합니다.
- 연락은 반드시 기존에 등록된 연락처로
- 공격 메일에는 “이 번호로만 연락해 달라”는 문구가 딸려오는 경우가 많습니다.
- HR/급여 시스템, 기존 계약서에 저장된 번호로만 다시 연락합니다.
- 본인 확인 질문 템플릿을 미리 만들어 두기
- 예: 입사일, 최근 급여가 입금된 은행 이름(전부가 아닌 일부),
담당 매니저 이름, 근무 지점 등
- 조직에서 사전에 정한 2~3개 질문을 통해 실제 직원이 맞는지 교차 확인합니다.
- direct deposit ‘조회’ 요청은 특히 보수적으로
- “기존 계좌 정보 전체를 보내 달라”는 메일 요청은 원칙적으로 거절하고,
- 정말 필요한 경우에도, 본인임이 확인된 상태에서
전화로 일부 정보만 확인하는 식으로 범위를 최소화합니다.
- 의심 이메일은 홀로 처리하지 말고 공유하기
- 비슷한 양식의 메일이 담당자를 바꿔가며 반복 시도되는 경우가 많습니다.
- 의심되면 IT·보안 담당자, 관리 책임자와 바로 공유해
같은 유형이 조직 전체에 퍼지지 않도록 막는 것이 좋습니다.
현장에서 써본 급여 보안 실무 팁
스태핑·파견 업종처럼 이동이 잦고 당사자 확인이 어려운 환경에서는, 최소한 이 정도는 갖춰두면 도움이 됩니다.
- 정책을 문서화하고 전 직원에게 안내
- “급여계좌 변경은 이메일만으로 처리하지 않는다”
- “기존 direct deposit 정보는 이메일로 제공하지 않는다”를 명문화합니다.
- 외부 파트너(예: A사 같은 인력 공급사)에도 동일 기준 적용
- 한 곳에서만 예외를 허용해도 공격자는 그 약한 고리를 노립니다.
- 급여계좌 변경 이력 별도 관리
- 누가, 언제, 어떤 경로로 계좌를 바꾸었는지 간단히 로그를 남기면
- 사고 발생 시 원인 파악과 재발 방지에 큰 도움이 됩니다.
- 신규 입사자·현장 매니저 교육에 한 번은 꼭 포함
- “급여계좌를 바꾸고 싶을 때의 공식 절차”
- “이상한 급여 메일을 받았을 때 HR/급여팀으로 포워드하는 방법”을 함께 알려줍니다.
맺음: 의심되면 답장 대신, 다른 채널로 한 번 더
급여 직접입금 사기 이메일 구별법은 복잡한 기술보다도, 몇 가지 기본 습관에 가깝습니다.
- 메일만 보고 급하게 처리하지 않기
- “이 내용이 이 채널로 오는 게 정상인가?”를 항상 먼저 생각하기
- 조금이라도 이상하면,
→ 회신 대신 전화, 사내 메신저, 대면 확인 등 다른 채널로 교차 확인하기
한 번의 실수가 바로 큰 사고로 이어질 수 있는 영역이라, 사전에 정해둔 기준과 절차만으로도 페이롤 다이버전 예방 효과가 꽤 큽니다.
“설마 이것까지 사기겠어?” 싶은 메일일수록, 한 번 더 확인하는 습관을 조직 전체 문화로 만드는 것이 급여 보안을 지키는 현실적인 방법입니다.
