전직 미 공군 대원 2명이 여러 해 동안 이메일 데이터를 노리고 240만 달러가 넘는 사업체 지급금을 공모자들이 관리하는 계좌로 돌린 다년간의 사기 캠페인에 가담한 혐의로 합계 189개월의 징역형을 선고받았다.
미국 법원은 전직 미 공군 대원인 Chijioke Timothy Odimegwu와 Harafat Mogaji에게 수년에 걸쳐 실행된 일련의 피싱 공격 및 기업 이메일 침해(BEC) 공격에 가담한 혐의로 총 189개월의 징역형을 선고했다.
두 사람은 Delaware주 Dover 공군기지에서 복무하던 중 공격을 실행했다. 법원 문서에 따르면, 이들은 피싱 및 스팸 캠페인을 통해 직원들의 이메일 자격 증명을 확보한 뒤 실제 사업 파트너의 주소를 모방한 위조 이메일 주소를 사용했다. 이를 통해 일당은 회계 부서가 미국 내외의 공모자들이 관리하는 은행 계좌로 지급금을 송금하도록 유도했다.
수백만 달러 규모의 자금 이체
미국 법무부는 피고인들과 공모자들이 Iowa주 Iowa City의 피해자가 보낸 168만 달러가 넘는 금액을 사기 수법으로 네트워크가 관리하는 Chicago의 은행 계좌로 이체했다고 밝혔다. 또한 Ohio의 피해자로부터 72만 달러가 넘는 금액을 공모에 연루된 또 다른 계좌로 이체했으며, Iowa 및 미국 각지의 기업을 대상으로 한 다른 금융 이체 시도도 있었다.
활동은 은행 송금 가로채기에만 국한되지 않았다. 피고인들은 계좌 정보, 개인 식별 번호, 신용카드 및 직불카드 번호를 포함한 도난 데이터를 사용해 피해자들이 알지 못하는 사이 금융 거래를 진행했으며, 범죄 공모자들에게서 구매한 데이터도 사용했다.
Odimegwu는 111개월의 징역형과 함께 366,617.59달러의 배상금 지급을 명령받았다. Mogaji는 78개월의 징역형을 선고받고 995,680.45달러를 지급하라는 명령을 받았다. 두 사람 모두 형기를 마친 뒤 3년간 보호관찰부 석방 대상이 된다.
이 소식이 중요한 이유
이번 사건은 BEC 공격이 반드시 복잡한 악성 소프트웨어에 의존하는 것은 아니라는 점을 보여준다. 도난당한 자격 증명과 사업 파트너 사칭을 결합하는 것만으로도 회계 담당 직원이 송금 정보를 변경하도록 설득할 수 있다. 자금이 도착한 뒤 공격자들은 일반적으로 금융 중개 계좌를 사용하거나 여러 계좌 사이에서 자금을 이체해 동결 또는 회수를 어렵게 만든다.
금전적 손실은 여전히 이러한 유형의 공격이 초래하는 가장 직접적이고 큰 피해다. 연방수사국(FBI)이 발표한 2025년 인터넷 범죄 보고서에 따르면, 기업 이메일 침해와 관련된 신고는 24,768건 접수됐으며 전년도 손실액은 30억 달러를 넘었다.
이번 사건은 위협이 국경을 넘어 확산될 수 있다는 점도 보여준다. 피고인들은 미국 안팎의 공모자들과 협력했다. 그러나 해당 자료는 자금 회수 메커니즘이나 송금을 방지할 수 있었던 보안 조치를 특정하지 않으므로, 이 사건만으로 피해자들의 기술적 통제가 얼마나 효과적이었는지에 대해 더 폭넓은 평가를 도출할 수는 없다.