견적 요청 메일에 답장했더니…물건만 나가고 돈은 안 들어옵니다

사업하시는 분들께 알려드립니다. 견적 요청서(RFQ)를 보내 물건만 받아 챙기고 사라지는 수법이 지금 돌고 있습니다. 보안업체 프루프포인트(Proofpoint)가 이 수법을 추적해 공개했고, 관련 도메인 19개를 폐쇄시켰습니다. 그리고 어제 저희 회사 메일함에도 한 통이 들어왔습니다. 남 얘기가 아니라서 정리해 둡니다. 수법이 이렇습니다 예전 해킹으로 유출된 실제 회사 자료를 구해 둡니다 그 회사인 척하고 진짜처럼 생긴 견적 요청서를 보냅니다. 사양서 첨부까지 그럴듯합니다 견적을 받으면 Net 30 결제 조건을 요구합니다. 물건 받고 30일 뒤에 결제하겠다는 것으로, B2B에서는 흔한 조건입니다 물건을 보내면 주소지는 일반 주택이나 단기 임대 창고입니다 받은 물건은 화물 전달업체를 거쳐 나이지리아, 가나 같은 서아프리카로 넘어갑니다 팔아치우고 사라집니다. 결제일은 오지 않습니다 지금까지 확인된 표적은 네트워크 장비, CCTV 카메라, 의료기기였습니다. 공통점은 비싸고, 부피가 작고, 되팔기 쉬운 물건입니다. 업종을 가리지 않습니다. 어제 저희가 받은 메일 - 뜯어보니 워싱턴주 세 곳에 옥외 간판을 설치해 달라는 견적 요청이었습니다. 사양서 PDF까지 붙어 있었고, 요구 항목이 스무 개가 넘었습니다. 워런티 조건, 퍼밋 일정, 리드타임까지 - 아는 사람이 쓴 티가 났습니다. 그런데 뜯어보니 이런 것들이 보였습니다. 받는 사람이 저희가 아니었습니다. 수신란이 "undisclosed-recipients"였습니다. 저는 숨은참조로 받은 겁니다. 즉 같은 메일이 동시에 수백 군데로 나갔다는 뜻입니다. 진짜 발주처는 업체를 골라서 이름을 넣고 보냅니다. 보이는 주소와 실제 주소가 달랐습니다. 화면에는 Contact@회사도메인이라고 적혀 있는데, 실제 연결된 주소는 다른이름@회사도메인이었습니다. 서명에 적힌 담당자 이름과도 철자가 맞지 않았습니다. 마우스만 올려봐도 보입니다. 주소는 버지니아, 전화번호는 펜실베이니아 지역번호였습니다. 그리고 설치할 현장은 워싱턴주였습니다. 셋이 전부 다른 주입니다. 결제 수단을 캐물었습니다. 이게 제일 이상했습니다. 요구 항목에 이런 게 있었습니다. 법인 카드 결제를 받습니까? 카드 수수료가 얼마입니까? 카드 결제 한도가 얼마입니까? 견적을 받기도 전에 "당신 회사 카드 한도가 얼마냐"고 묻는 발주처는 없습니다. 얼마까지 빼낼 수 있는지 재는 질문입니다. 기한이 촉박했습니다. "응답 기간이 짧으니 최대한 빨리" 보내라고 했습니다. 급하게 만들어야 생각할 틈이 없습니다. 그래서 이렇게 막습니다 1. 처음 보는 거래처에 Net 30을 주지 마세요. 이 수법의 전부가 여기에 걸려 있습니다. 선금 50%, 아니면 납품 전 카드 선결제를 요구하세요. 진짜 회사면 받아들입니다. 못 하겠다고 버티면 그때 답이 나옵니다. 2. 메일에 적힌 전화번호로 전화하지 마세요. 그 번호는 저쪽 사람이 받습니다. 회사 이름을 직접 검색해서 대표번호로 걸어 "이런 견적 요청을 보내셨느냐"고 확인하세요. 사칭당한 회사가 그제야 아는 경우도 많습니다. 3. 수신란을 보세요. 내 이름이 없고 "undisclosed-recipients"면, 나한테 온 게 아니라 뿌려진 겁니다. 4. 보내는 주소에 마우스를 올려보세요. 화면에 보이는 글자와 실제 주소가 다르면 그걸로 끝입니다. 5. 배송지를 확인하세요. 구글 지도로 주소를 찍어 보세요. 일반 주택, 창고 한 칸, 우편 대행업체가 나오면 멈추세요. 청구지와 배송지가 다른 주면 더 조심하세요. 6. 결제 조건부터 캐묻는 곳을 의심하세요. 물건 이야기보다 결제 이야기가 앞서면 이상한 겁니다. 7. 재촉하면 그게 신호입니다. 급한 척은 이 수법의 기본 도구입니다. 급할수록 하루 미루고 확인하세요. 왜 한인 업체가 표적이 되기 쉬운가 영어로 잘 쓰인 대형 발주 메일이 오면 "큰 건 하나 물었다"는 생각이 먼저 듭니다. 확인하다가 놓칠까 봐 서두르게 됩니다. 그 마음을 노리는 겁니다. 그리고 작은 업체일수록 신용조회를 건너뜁니다. 큰 회사는 새 거래처가 오면 D&B 조회부터 하는데, 우리는 그냥 만듭니다. 물건 나가고 나면 되찾을 방법이 없습니다. 국제 배송에 서류까지 다 저쪽이 만든 것이라, 경찰에 신고해도 실질적으로 회수가 어렵습니다. 이미 물건을 보내셨다면 배송업체에 즉시 연락해 배송 중지 또는 회수가 되는지 확인하세요. 도착 전이면 가능한 경우가 있습니다 카드로 결제받았다면 차지백이 들어올 수 있으니 카드사에 미리 알리세요 FBI 인터넷범죄신고센터 IC3.gov 에 신고하세요 사칭당한 회사에도 알려 주세요. 다음 피해를 막습니다 혹시 비슷한 메일 받으신 분 계시면 댓글로 남겨 주세요. 업종과 수법을 같이 모아 두면 다음 분이 덜 당합니다. 회사 이름이나 개인정보는 빼고 수법만 적어 주시면 됩니다. 출처: Proofpoint 조사 내용을 TechRadar가 2026년 8월 보도한 것을 바탕으로 정리했고, 사례는 저희가 실제로 받은 메일입니다. 여기 적은 것은 일반적인 주의사항이며 법률 자문이 아닙니다. 실제 피해가 발생했다면 변호사, 카드사, 수사기관과 상의하세요.