호주·뉴질랜드 SMB의 인보이스 결제 흐름을 보다가 제일 무서운 순간이 꽤 작게 숨어 있었다. 낯선 해킹 화면이 아니라, 늘 거래하던 공급업체 이메일 스레드 안에서 “이번부터 이 계좌로 보내주세요”가 붙는 장면이다. 공개 이슈 정리에는 댓글 20개가 붙어 있었고, ACCC Scamwatch, NAB, ANZ, CERT NZ 같은 자료를 묶어 결제 계좌 변경이 실제로 돈이 빠져나간 뒤에야 드러나는 패턴을 짚고 있었다. 지금의 임시 해결책은 사람의 긴장감에 많이 기대고 있다. 직원 교육, 은행 경고 문구, PayID나 계좌명 확인, 이메일 규칙, 직접 전화해서 다시 확인하기, 사고가 난 뒤 은행이나 스캠 신고를 하는 식이다. 문제는 이게 매번 같은 강도로 지켜지지 않는다는 점이다. 바쁜 AP 담당자나 사장이 마감 직전에 익숙한 PDF 인보이스를 열었고, 바뀐 BSB/계좌번호를 “늘 오던 메일”이라고 믿는 순간 감사 trail은 거의 사후 메모가 된다. 작게 만들 제품은 돈을 직접 잡거나 은행이 되려는 쪽이 아니어도 된다. 공급업체별 기존 결제 지문을 저장해두고, 인보이스나 이메일에서 계좌가 바뀌면 결제 전에 멈춰 세운 뒤, 별도 채널 콜백 기록·승인자·증빙 캡처를 한 묶음으로 남겨주는 정도면 충분히 선명하다. 사이버보안 대시보드보다 “바뀐 계좌로 송금하기 전 2분짜리 확인 레일”이 작은 회사에는 더 빨리 와닿을 것 같다.

Attached Link

github.com/muaddibco/RealWorldProblems/issues/1947

첨부한 링크 미리보기입니다.