페이로드가 없는 사기: '안녕, 지금 시간 돼?'가 전부인 이유

당신의 상사가 절대 보낸 적 없는 가장 위험한 이메일에는 링크도, 첨부파일도, 오타가 난 은행 경고도 없습니다. 네 글자만 있습니다: "Hi, are you free?"

그게 사기입니다. 전부입니다. 그리고 당신이 가진 모든 방어 수단(당신 자신의 본능까지)을 통과하도록 만들어졌기 때문에 작동합니다.

작동 원리는 이렇습니다. 전통적인 피싱 이메일은 무기를 들고 있습니다: 악성 링크, 독이 든 PDF, 가짜 로그인 페이지. 당신의 스팸 필터, 이메일 게이트웨이, 그리고 점점 더 많아지는 AI 스크리닝 레이어는 모두 이런 것들을 찾아내도록 훈련되어 있습니다. SPF, DKIM, DMARC 기록에 대해 발신자를 확인합니다. 첨부파일을 스캔합니다. 긴급함 플러스 결제 요청을 표시합니다. "Hi, are you free?"라고 말하는 메시지는 이 중 어떤 것도 건드리지 않습니다. 건드릴 것이 없기 때문입니다. 화요일 같은 메시지처럼 읽힙니다.

페이로드는 이메일에 없습니다. 페이로드는 당신의 답장입니다.

당신이 답장을 쓰는 순간 — "좋아, 뭐 하는 거야?" — 공격자가 필요했던 두 가지를 했습니다. 그 계정이 살아 있고 모니터링되고 있다는 것을 확인했고, 당신이 신뢰를 제공하는 사람이 된 스레드를 열었습니다. 다음 메시지가 터집니다. 거의 항상 작고, 그럴듯하고, 시간이 정해져 있습니다: 회의에 갇혀 있는데 클라이언트를 위한 기프트 카드 좀 사줄 수 있을까, 나중에 돈 줄게, 뒷면 코드만 보내 줘. 때로는 "새로운 벤더"로의 송금입니다. 기프트 카드 버전이 인기 있는 이유는 정확히 기프트 카드가 일반 직원이 CVS에서 사올 수 있는 추적 불가능한 현금에 가장 가까운 것이기 때문입니다.

이것이 비즈니스 이메일 손상(business email compromise)이며, 주변부 문제가 아닙니다. FBI의 인터넷 범죄 불만 센터(Internet Crime Complaint Center)는 2023년 한 해에만 보고된 BEC 손실로 $2.9 billion을 기록했습니다 — 스캐너가 테스트할 것이 없는 평문 메시지로 거의 전부 구성된 카테고리입니다 — 첨부파일도, 링크도, 악성코드도 없습니다. FTC는 별도로 기프트 카드를 사기꾼이 요구하는 상위 결제 수단 중 하나로 추적해 왔으며, 해마다 수억 달러가 그 방식으로 손실되고 있습니다. 이들은 만화 같은 나이지리아 왕자 이메일에 넘어가는 사람들이 아닙니다. 그들은 자신이 알고 있는 이름에서 온 것처럼 보이는 일반적인 ping에 답장하는 유능한 직원들입니다.

그리고 그 이름이 트릭의 두 번째 절반입니다. 표시 이름이 아닌 실제 발신 주소를 보세요. 공격자는 닮은꼴 도메인을 등록합니다 — rn을 m으로 바꾸고, 하이픈을 추가하고, CEO 이름을 "from" 필드에 입력한 무료 Gmail을 사용합니다. 표시 이름은 위조하기 무료이지만 @ 뒤의 도메인은 그렇지 않습니다. 그게 당신의 단서입니다. "Dave Morgan, CEO"가 dave.morgan.exec@gmail.com에서 쓰고 있다면, Dave는 새로운 이메일 주소를 얻지 않았습니다. Dave는 존재하지 않습니다.

지루한 인사말이 화려한 인사말을 이기는 이유는 기술적이 아니라 심리적입니다. 돈에 대한 차가운 요구는 의심을 유발합니다. 따뜻하고, 낮은 위험의 질문은 먼저 관계를 구축하므로 돈이 대화에 들어올 때까지 당신은 이미 이 사람이 자신이 말하는 사람이라고 결정했습니다. 사기는 당신 자신의 일관성을 당신에게 역이용합니다.

방어책은 나쁜 링크를 찾는 것이 아닙니다. 링크가 없을 테니까요. 메시지가 아니라 요청에 대한 규칙입니다: 기프트 카드, 송금, 또는 일반적인 프로세스 이외의 채널을 통해 라우팅되는 결제에 대한 모든 요청은 대역 외(out-of-band)로 확인됩니다. 그 사람에게 전화하세요. 이메일 서명의 번호가 아니라 — 휴대폰의 번호로요. 그들 책상으로 가세요.

사기꾼은 당신이 답장할 정도로 예의 바르고 확인할 정도로 바쁘지 않을 것이라고 계산하고 있습니다. 두 번째 부분에서 그들을 틀리게 증명하면, 첫 번째 부분은 더 이상 중요하지 않습니다.

정정, 2026년 10월 21일. 이전 버전은 이런 메시지가 "필터가 표시하지 않은" 메시지라고 했습니다 — 모든 필터의 존재에 대한 주장으로, 이 글이 뒷받침할 수 없습니다. FBI의 수치가 설명하는 것, 그리고 실제로 논증이 필요로 하는 것은 메시지가 스캐너가 테스트할 것을 포함하지 않는다는 것입니다.