Capillary 300만 유로 사기, KPMG "외부 사회공학 수법"

인도 SaaS 기업 Capillary Technologies가 자회사 SessionM Czech Republic에서 발생한 304만 유로 규모 은행 사기에 대한 KPMG의 포렌식 감사 결과를 거래소 공시로 밝혔습니다. 감사는 고위 임원과 외부 변호사를 사칭한 외부의 송금 전환 사기와 가장 부합한다고 결론 내렸습니다.

감사에서 확인된 내용

회사에 따르면 범행에는 유사 이메일 도메인, 사회공학 기법, WhatsApp과 개인 이메일을 통한 소통이 사용됐을 가능성이 큽니다. 조사한 시스템과 기록에서는 악성코드, 무단 접근, 메일함 침해, 계정 탈취, 전통적인 이메일 위조의 증거가 나오지 않았습니다. 직원이 연루됐다는 증거도 확인되지 않았습니다.

딥페이크 음성이나 영상 사용 여부는 원본 녹음, 모바일 기기 데이터, 통화 기록이 없어 확인도 배제도 할 수 없었습니다. 문제가 된 거래 4건 가운데 3건은 HSBC 홍콩의 ZZDJB CO LIMITED로, 1건은 UOB 싱가포르의 ZHONGXIAN TRADING PTE. LTD로 송금됐습니다.

조사의 한계와 향후 과제

감사는 최초 송금은 확인했지만 이후 자금 이동 경로, 최종 수혜자, 회수 가능성은 평가하지 않았습니다. 은행 포털과 워크플로 기록이 없어 회사의 결제 승인 절차도 독립적으로 검증하지 못했습니다.

Capillary는 결제 통제를 강화했으며 회수와 법적 구제 절차를 진행 중이라고 밝혔습니다. 회사는 앞서 45만 유로를 회수했고 의심 계좌가 은행에 의해 동결됐다고 설명했습니다. 고객 데이터와 기술 인프라는 침해되지 않았다는 입장입니다.

해당 자회사는 Capillary가 2월 2,000만 달러에 인수한 Mastercard의 로열티 플랫폼 SessionM과 관련돼 있습니다. AI로 수법이 정교해지는 가운데, 기업이 결제 승인 단계의 신원 확인 체계를 강화해야 한다는 점을 보여 줍니다.