온라인 사기 피해 수치는 이제 충격적인 소식을 넘어 일상적인 통계가 됐습니다. 그 자체가 경고입니다. Juniper Research는 온라인 결제 사기로 향후 5년간 전 세계 경제에서 $3,620억 이상이 빠져나가고, 판매자의 연간 손실은 2028년까지 $900억을 넘어설 것으로 예상합니다. 온라인으로 상품을 판매한다면 이 피해의 일부는 바로 기업을 겨냥하고 있습니다.
하지만 대부분의 사기 방지 가이드가 완전히 놓치는 부분이 있습니다. 결제 단계에서 스크리닝, 봇 차단, 차지백 이의 대응 등을 모두 해도 예상하지 못한 방향에서 피해를 볼 수 있습니다. 어느 날 자사 쇼핑몰을 픽셀 단위까지 똑같이 복제한 사이트가 자사 브랜드명으로 광고를 집행하고, 고객의 카드 정보를 수집하면서 상품은 하나도 보내지 않는 상황을 떠올려 보십시오. 분노한 피해자들은 복제 사이트를 만든 사기범이 아니라 기업에 항의하며 책임을 묻게 됩니다. 이런 상황에서는 결제 방어 체계가 전혀 쓸모없습니다. 사기가 기업의 결제 페이지를 겨냥한 것이 아니기 때문입니다. 사기범이 노린 것은 기업의 정체성입니다.
이 가이드는 전자상거래 사기의 실제 의미, 계속 증가하는 이유, 가장 많이 노출된 기업, 주요 유형과 위험 신호, 비용, 그리고 사기가 들어오는 두 방향을 모두 막는 방어 체계 구축 방법까지 전체를 다룹니다. 사기는 온라인 기업을 두 방향에서 공격하지만, 대부분의 판매자는 한쪽만 방어하고 있기 때문입니다.
전자상거래 사기의 정의
전자상거래 사기는 부당한 금전적 이익을 얻기 위해 온라인 기업이나 그 고객을 대상으로 벌이는 모든 형태의 기만 행위입니다. 범주 자체가 매우 넓은 만큼 정의도 포괄적입니다. 도난 카드 정보로 결제하는 행위, 고객이 정상적으로 결제한 뒤 이의를 제기해 받을 자격이 없는 환불을 받아내는 행위, 고객 계정을 탈취하는 행위, 가짜 신원으로 계정을 만들어 프로모션을 악용하는 행위, 쇼핑몰 전체를 복제해 기업의 이름으로 고객을 속이는 행위가 모두 포함됩니다.
이 모든 행위의 공통점은 온라인 상거래의 핵심 특성을 악용한다는 것입니다. 구매자와 판매자, 결제 대금이 한자리에서 직접 만나지 않습니다. 실제 카드 소유자가 맞는지, 실재하는 매장인지, 본인이 주장하는 신원이 맞는지처럼 오프라인 매장에서 눈으로 확인하는 모든 사항을 원격으로 데이터를 통해 확인해야 합니다. 사기는 그 틈에서 발생합니다. 상거래가 온라인으로 이동할수록 이 틈은 커지고, 이를 파고드는 수법도 더 다양해집니다.
처음부터 두 가지를 염두에 두면 도움이 됩니다. 첫째, 전자상거래 사기는 카드 사기보다 훨씬 넓은 개념이며, 도난 카드는 가장 익숙한 사례일 뿐입니다. 둘째, 사기는 거래와 기업 정체성이라는 두 측면을 동시에 공격합니다. 이 가이드의 나머지 내용도 이 구분을 바탕으로 설명합니다.
전자상거래 사기가 계속 증가하는 이유
온라인 사기는 끊이지 않을 뿐 아니라 실제로 증가하고 있습니다. 그 증가를 이끄는 요인은 정상적인 상거래를 더 빠르고 더 크게 성장시키는 요인과 같습니다. 매년 전 세계에서 온라인 쇼핑을 하는 사람이 늘어나면서 범죄의 표적도 더 커지고 수익성도 높아집니다. 결제가 수초 안에 완료되면서 통제 체계가 대응할 시간이 사라집니다. 범죄자들이 활용할 수 있는 유출 데이터도 끊임없이 공급됩니다.
가장 강력한 가속 요인은 생성형 AI입니다. 이전에는 기술이 필요했던 작업을 이제는 쉽고 저렴하게 할 수 있습니다. URL 하나로 복제한 정교한 가짜 쇼핑몰, 온보딩을 통과하는 합성 신원, 현지 언어로 자연스럽게 작성한 피싱 메시지, 사칭에 쓰는 음성·영상 딥페이크가 그 예입니다. 동시에 사기는 산업화됐습니다. 사실상 사기 도구를 서비스로 제공하는 생태계, 도난 데이터 시장, 자신의 수법을 판매하는 전문가가 존재합니다. 이제 사기범은 기술 지식이 없어도 대규모로 범행할 수 있습니다. 냉정한 결론은 공격자가 방어하려는 기업보다 새로운 도구를 더 빨리 도입한다는 것입니다. 사기 방지는 고정된 솔루션에 머물 수 없습니다. 계속 발전해야 합니다.
주의가 필요한 기업
단도직입적으로 말하면 온라인으로 판매하는 모든 기업과 사칭할 가치가 있을 만큼 브랜드가 알려진 모든 기업입니다. 둘을 합치면 거의 모든 기업이 해당합니다. 다만 일부 기업은 다른 기업보다 위험이 높으므로 자사의 위치를 파악할 필요가 있습니다.
위험이 높은 기업에는 전자제품이나 명품처럼 사기 주문 한 건만으로도 훔칠 가치가 있는 고가 상품 판매업체가 포함됩니다. 디지털 상품이나 즉시 제공되는 상품을 판매하는 기업도 해당합니다. 상품이 넘어가기 전에 사기를 적발할 배송 대기 시간이 없기 때문입니다. 사이트에 입점한 모든 판매자의 위험을 떠안는 마켓플레이스와 플랫폼, 구독 및 정기 결제 사업자도 위험이 높습니다. 국가 간 거래를 하는 판매자는 검증이 훨씬 어렵고 시장마다 규칙이 달라 위험이 큽니다. 물론 어느 정도 인지도가 있는 브랜드라면 규모나 판매 상품과 관계없이 사칭의 표적이 됩니다.
바로잡아야 할 오해가 하나 있습니다. 소규모 판매자는 너무 작아서 사기범의 관심을 끌지 않는다는 생각입니다. 실제로는 반대인 경우가 많습니다. 소규모 기업은 방어 체계가 약한 편이라 공격하기 쉽고, 사기범은 방어가 강한 표적 몇 곳보다 취약한 표적 여러 곳을 선호하는 경우가 많습니다. 규모가 작다는 사실은 보호막이 아닙니다. 오히려 표적으로 선택된 이유일 수 있습니다.
전자상거래 사기의 두 가지 범주
판매자가 겪는 거의 모든 사기는 두 가지 범주 중 하나에 속합니다. 두 범주에 필요한 방어 방식이 완전히 다르므로 명확히 구분할 필요가 있습니다.
첫 번째는 거래를 겨냥한 사기입니다. 도난 카드, 탈취한 로그인 정보, 부정 환불처럼 결제, 계정 또는 정책을 악용합니다. 일반적으로 “전자상거래 사기”라고 하면 떠올리는 범주이며, 결제 사기 방지 업계의 도구가 집중하는 영역입니다.
두 번째는 기업 정체성과 파트너를 겨냥한 사기입니다. 누군가 기업을 사칭하거나, 정체를 속이고 판매자 또는 공급업체로 들어옵니다. 카드를 훔치거나 계정을 탈취하지 않습니다. 브랜드 평판이나 파트너에 대한 신뢰를 악용하는 공격입니다. 이 범주는 관심을 거의 받지 못하지만, 이를 탐지할 체계를 갖춘 판매자가 매우 적어 실제 피해는 상당하며 특히 평판 피해가 큽니다. 도난 카드 주문은 매출 한 건의 손실입니다. 가짜 쇼핑몰이 고객 100명을 속이면 고객 100명의 신뢰를 잃게 됩니다. 피해 고객이 사기범과 해당 기업을 명확히 구분하는 경우는 매우 드뭅니다.
첫 번째 범주: 거래를 겨냥한 사기
이미 익숙할 가능성이 높은 범주부터 살펴보겠습니다. 종합 가이드라면 반드시 제대로 다뤄야 하는 영역입니다. 결제나 계정을 직접 겨냥하는 공격이 여기에 해당합니다.
- 도난 카드 사기(카드 비대면 거래 사기). 사기범이 도난 카드 정보로 온라인에서 구매하는 전형적인 수법입니다. 실제 카드 소유자가 이를 알게 되면 보통 차지백으로 이어집니다. 이와 관련된 수법으로 카드 테스트가 있습니다. 사기범이 매우 적은 금액을 결제해 도난 카드 번호 중 어떤 것이 여전히 사용 가능한지 확인합니다.
- 차지백 사기 또는 “고객 부정 청구” 사기. 실제 고객이 상품을 구매한 뒤 승인하지 않은 결제라거나 상품을 받지 못했다고 주장하며 결제에 이의를 제기하고, 상품은 보유한 채 대금을 돌려받습니다. 이런 당사자 사기는 “사기범”이 실제 고객이라는 점에서 현재 대응하기 가장 어려운 범주 중 하나입니다.
- 계정 탈취. 공격자가 유출 비밀번호나 피싱으로 정상 고객의 계정에 접근해 저장된 카드, 적립금 등 저장 가치, 해당 계정에 부여된 신뢰를 악용합니다.
- 신규 계정 및 합성 신원 사기. 가짜 신원이나 여러 정보를 조합한 신원으로 계정을 개설하고, 가입 혜택을 받거나 이후의 악용을 준비합니다. 이러한 신원을 만드는 데 AI를 활용하는 사례가 늘고 있습니다.
- 환불·프로모션·쿠폰 악용. 반복적인 환불, 할인 코드 대량 확보, 재배송 서비스 악용 등 기업의 정책을 이용합니다. 직접적인 절도보다 정책의 허점으로 인해 수익률이 서서히, 눈에 띄지 않게 깎입니다.
- 봇 및 자동화 공격. 자동화 스크립트로 카드를 테스트하고, 한정 재고를 선점하고, 가격을 수집하거나, 사람이 할 수 없는 규모로 무차별 로그인 시도를 수행합니다.
모두 실제로 발생하며 비용을 유발하는, 잘 알려진 사기입니다. 운영 체계가 성숙한 판매자는 각각에 대한 방어 수단을 갖추고 있습니다. 다만 공통점을 살펴보십시오. 모두 기업이 운영하는 결제 페이지, 계정, 정책을 공격합니다. 바로 이 때문에 두 번째 범주는 이런 방어를 빠져나갑니다. 다른 사람의 서버에서 기업의 이름을 도용해 사기가 벌어지면, 결제 페이지를 감시하는 도구에는 관찰할 대상 자체가 없습니다.
두 번째 범주: 기업 정체성과 파트너를 겨냥한 사기
두 번째 범주는 기업 시스템에 전혀 손대지 않습니다. 브랜드와 그 주변 사람들을 겨냥하기 때문에 거래 감시용 도구에는 보이지 않습니다.
- 브랜드 사칭 및 가짜 쇼핑몰. 유사 도메인에 만든 복제 웹사이트, 사칭 소셜 미디어 계정, 브랜드 디자인을 그대로 사용한 피싱 페이지로 고객의 돈과 카드 정보를 가로챕니다. 고객은 실제 기업과 거래한다고 생각하고, 피해는 기업 평판으로 돌아옵니다. 가장 빠르게 증가하는 사기 영역 중 하나이면서 판매자가 탐지할 준비가 가장 부족한 영역이기도 합니다.
- 사기 판매자 및 공급업체. 마켓플레이스나 플랫폼이라면 위험은 반대 방향에서도 들어옵니다. 위조품을 판매하거나, 돈을 받고도 전혀 배송하지 않거나, 실제로는 위장 기업 또는 제재 대상 기업인 판매자의 위험을 떠안게 됩니다. 적절한 실사 없이 온보딩한 이런 업체 하나하나가 자사 로고를 달고 활동하는 위험 요인입니다.
- 공급업체 및 드롭시핑 위험. 상품을 조달하거나 주문 이행을 맡기는 기업이 위장 업체나 위조품 제조업체일 수 있습니다. 고객이나 규제기관이 해당 업체와 기업의 관계를 확인하는 순간, 그 업체의 법적 문제, 평판 문제, 제재 문제 등이 기업의 문제가 될 수 있습니다.
공통점은 이 중 어느 것도 거래상의 문제가 아니라는 것입니다. 사기가 기업 내부가 아닌 주변에서 벌어지므로 위험 점수를 매길 의심 결제가 없습니다. FTC는 소셜 미디어와 유사 사이트에서 시작된 사기로 소비자가 수십억 달러의 손실을 입었다고 보고했습니다. FBI의 사이버범죄 보고도 같은 상황을 보여줍니다. 사칭과 사기 기업을 이용한 범죄가 전체 손실에서 큰 비중을 차지하며 계속 증가하고 있습니다. 자사 결제 페이지만 감시하는 판매자는 이런 공격의 조짐을 전혀 보지 못합니다. 보통 사기를 당한 고객이 고객지원팀에 연락하고 나서야 알게 되며, 그때는 이미 피해가 발생한 뒤입니다.
전자상거래 사기의 위험 신호
무엇을 살펴봐야 하는지 알면 많은 거래 사기에서 징후를 발견할 수 있습니다. 어떤 신호도 그 하나만으로 확실한 증거가 되지는 않습니다. 하나의 신호를 증거로 단정하면 정상 고객을 차단하게 됩니다. 다만 한 주문에서 여러 신호가 함께 나타나면 다시 검토할 필요가 있습니다. 일반적인 위험 신호는 다음과 같습니다.
- 청구 정보와 배송 정보가 일치하지 않거나, 배송지가 화물 운송 주선업체 또는 재배송 서비스 주소인 경우.
- 한 계정에서 여러 카드를 사용하거나, 여러 계정에서 같은 카드로 결제를 시도하는 경우.
- 짧은 시간에 같은 기기나 IP 주소에서 주문이 몰리거나, 결제가 여러 번 거절된 뒤 한 번 성공하는 경우.
- 첫 주문 금액이 이례적으로 크고, 특히 구매자가 비용보다 속도를 중시하며 빠른 배송을 선택하는 경우.
- 고객 이름, 이메일, 카드 정보가 서로 맞지 않거나, 이메일 주소가 무작위로 생성된 것처럼 보이는 경우.
- 고객이 제공한 정보와 맞지 않는 지역에서 주문하거나, 구매 직전에 계정의 연락처 또는 결제 정보가 갑자기 변경되는 경우.
두 가지 주의점이 있습니다. 첫째, 기업 정체성과 파트너를 겨냥한 사기는 주문 데이터에 전혀 나타나지 않습니다. 해당 범주의 위험 신호는 의심스러운 장바구니가 아니라 소셜 미디어와 웹 전반에서 기업을 사칭하는 계정과 도메인으로 나타납니다. 둘째, 최근 사기는 정상적인 행동처럼 보이는 데 매우 능숙해지고 있습니다. 따라서 위험 신호는 미숙한 사기범은 잡아도 치밀한 사기범은 놓칠 수 있습니다. 유용한 필터이지만 완전한 방어막은 아닙니다.
전자상거래 사기로 발생하는 비용
사기로 도난당한 상품 가액은 겉으로 드러나는 비용의 시작에 불과합니다. 실제 비용은 그 몇 배에 이릅니다. LexisNexis의 True Cost of Fraud 연구에 따르면 소매 및 전자상거래 기업은 사기로 $1을 잃을 때마다 총비용으로 $5 이상을 부담하며, 이 배수는 해마다 높아지고 있습니다.
나머지 $4는 어디에 쓰일까요? 일부는 직접 비용입니다. 이미 발생한 상품 손실 외에 사기 거래의 차지백 수수료가 추가됩니다. 차지백 비율이 지나치게 높으면 제재를 받을 수 있고, 극단적인 경우 카드 결제를 아예 받지 못할 수도 있습니다. 차지백을 검토하고 이의를 제기하는 데 들어가는 분석 담당자의 시간도 상당합니다. 가장 큰 숨은 비용은 과도하게 신중한 통제 체계가 정상 주문을 거절하는 오거절인 경우가 많습니다. 많은 판매자는 오거절로 정상 고객을 돌려보내며 잃는 매출이 사기로 잃는 매출보다 실제로 더 큽니다. 여기에 평판 비용도 있습니다. 가장 수치화하기 어렵고 회복도 가장 느립니다. 특히 기업 계정을 통해 고객이 실제로 돈을 사기당한 경우 더욱 그렇습니다.
최신 사기 동향과 통계
위험이 향하는 방향을 결정하는 몇 가지 흐름을 주시할 필요가 있습니다. 대표적인 수치는 앞서 언급한 Juniper의 전망으로, 향후 5년간 온라인 결제 사기 손실이 $3,620억을 넘어설 것이라는 내용입니다. 이와 함께 주목할 만한 다른 동향도 있습니다.
가장 큰 요인은 생성형 AI입니다. 합성 신원, 정교한 피싱, 딥페이크, 자동화 공격을 대폭 늘리는 동시에 이를 실행하는 데 필요한 기술 수준을 크게 낮췄습니다. 이제 소셜 미디어는 사기의 주요 경로입니다. 보고되는 소비자 사기 손실 중 상당 부분이 판매자의 결제 페이지가 아니라 소셜 플랫폼이나 유사 사이트에서 시작됩니다. 당사자 사기인 고객 부정 청구 사기도 계속 증가하면서 고객과 사기범의 경계가 점점 흐려지고 있습니다. 실시간 결제 인프라를 갖춘 시장에서는 피해자가 직접 승인해 송금하도록 속이는 사기도 빠르게 증가하고 있습니다. 이 모든 흐름의 공통점은 사기가 기만과 사칭으로 이동하고 있다는 것입니다. 기술적 통제를 뚫기보다 사람의 신뢰를 공격하며, 바로 이 영역이 기업 정체성과 파트너 사기에 대응하는 솔루션의 대상입니다.
기존 방어 체계가 불리한 선택을 강요하는 이유
모든 판매자가 익숙하게 겪는 딜레마가 있습니다. 부정 주문을 더 많이 잡으려고 사기 통제를 강화하면 정상 주문도 더 많이 거절하고, 오거절로 매출이 줄어듭니다. 앞서 살펴봤듯 이 비용은 사기 자체의 비용보다 큰 경우가 많습니다. 반대로 정상 고객을 통과시키려고 통제를 완화하면 사기도 더 많이 허용하게 됩니다. 기존의 규칙 기반 방어는 이런 상충 관계를 피할 수 없습니다. 고정된 규칙으로는 정교한 사기범과 단지 행동이 이례적일 뿐인 정상 고객을 구분할 수 없기 때문입니다. 규칙을 강화하거나 완화할 수 있을 뿐이며, 어느 쪽이든 비용이 따릅니다.
목표는 애초에 사기를 완전히 없애는 것이 아니었습니다. 조금이라도 이상한 거래를 모두 거절하면 사기를 거의 없앨 수 있지만, 그렇게 하면 막아낸 손실보다 문전에서 잃는 매출이 훨씬 커집니다. 이 불리한 선택을 해결하는 방법은 같은 조절 장치에서 더 나은 지점을 찾는 것이 아닙니다. 더 나은 정보가 필요합니다. 주문, 계정, 기기, 신원, 이력, 관계망 등의 배후에 실제로 누가 있는지 맥락을 더 많이 알수록 추측할 필요가 줄어듭니다. 사기를 막는 것과 고객을 유지하는 것 사이에서 선택해야 하는 상황도 줄어듭니다. 이 상충 관계를 해소하는 방법은 고객의 이용 절차를 더 번거롭게 만드는 것이 아니라 더 나은 신호를 확보하는 것입니다.
거래 사기 방어 방법
이 원칙을 염두에 두고 보면, 첫 번째 범주에 대응하는 도구는 이미 성숙해 있습니다. 탄탄한 대응 체계는 어느 하나에 의존하기보다 다음 수단을 여러 겹으로 조합합니다.
가장 기본은 결제 보안 자체입니다. 카드 데이터 처리에는 PCI DSS를 적용하고, 허용되는 경우 3-D Secure와 강력한 고객 인증을 통해 카드 네트워크 및 발급사가 검증을 수행하도록 합니다. 그 위에 탐지 계층을 더합니다. 신원 및 기기 신호, 주소 및 카드 검증(AVS와 CVV), 주문마다 수십 가지 신호를 살펴보는 사기 위험 점수 모델, 결제 페이지에 반복적으로 요청을 보내는 카드나 기기를 잡는 빈도 규칙이 여기에 해당합니다. 판단이 모호한 영역은 수동 검토로 처리합니다. 사후 매출 회수를 위해 체계적인 차지백 관리 절차도 마련하며, 정상 거래였음을 입증할 수 있는 분쟁에 재반박하는 기능도 포함합니다. 이 모든 것은 Beady의 영역이 아니며, 제대로 갖춘 결제 사기 방지 체계는 반드시 필요합니다. 다만 이는 첫 번째 범주에 대한 대응입니다.
기업 정체성 및 파트너 사기 방어 방법
두 번째 범주에는 다른 방어 방식이 필요합니다. 위협이 기업 시스템 밖, 거래 도구가 살피지 않는 공개된 공간에 있기 때문입니다. 핵심은 두 가지를 꾸준히 실행하는 것입니다.
첫 번째는 브랜드 사칭을 감시하는 것입니다. 소셜 미디어 채널, 신규 도메인 등록, 웹 전반을 적극적으로 살펴보며 자사 이름과 브랜드를 사용하는 가짜 계정, 유사 도메인, 복제 쇼핑몰을 찾아야 합니다. 목표는 이들이 고객 사이에서 팔로워를 확보하기 전에 발견하고 신고하는 것입니다. 피싱용 복제 사이트는 보통 하루 안에 피해를 일으키고 사라지므로 속도가 무엇보다 중요합니다. 한 달에 한 번 수동으로 확인하는 방식은 전혀 쓸모가 없습니다.
두 번째는 기업 생태계에 들어오는 기업과 사람에 대한 실사입니다. 판매자, 공급업체 또는 결제 파트너를 온보딩하기 전에 실재하는 기업인지 확인하고, 실제 소유자와 지배자가 누구인지 파악하며, 제재 및 부정적 언론 보도 스크리닝을 수행해야 합니다. 온보딩 시 문제가 없던 기업도 나중에 문제가 생길 수 있으므로 실사는 일회성 점검이 아닌 지속적인 절차여야 합니다. 은행이 수년간 시행해 온 기업확인을 온라인 마켓플레이스의 판매자와 공급업체에 적용하는 것입니다.
전자상거래 사기 방지 도구
사기 방지 도구 시장은 규모가 크고 때로는 복잡하지만, 범주는 비교적 명확하게 구분됩니다. 앞서 설명한 두 가지 사기 범주에 맞춰 정리하면 다음과 같습니다.
- 결제 보안 및 인증: PCI를 준수하는 결제 처리, 카드 데이터 토큰화, 3-D Secure, 계정 보호를 위한 다중 요소 인증.
- 사기 위험 점수 산정 및 탐지: 각 거래의 위험 점수를 실시간으로 산정하는 머신러닝 모델, 기기 핑거프린팅, 주소 및 카드 검증, 빈도 규칙.
- 신원 확인: 온보딩 시 고객이 합성 신원이나 도난 신원을 사용하는 것이 아니라 실재하는 고유한 개인인지 확인하는 검증.
- 차지백 관리: 분쟁을 추적하고, 재반박을 자동화하며, 차지백 비율을 실제 적용되는 기준치 아래로 유지하는 도구.
- 브랜드 및 사칭 모니터링: 소셜 미디어, 웹, 도메인을 지속적으로 탐색해 가짜 계정과 복제 쇼핑몰을 찾는 도구.
- 기업 실사 및 스크리닝: 온보딩하는 판매자와 공급업체에 대한 기업확인, 실소유 관계 분석, 제재 및 부정적 언론 보도 스크리닝.
처음 네 범주는 거래 사기에 대응하며, 대부분의 판매자가 이미 투자하는 영역입니다. 마지막 두 범주는 기업 정체성과 파트너 사기에 대응하며, 대부분의 판매자가 아무런 수단도 갖추지 못한 영역입니다. 어느 한쪽에라도 빈틈이 있으면 사기범이 찾아내므로, 완전한 도구 체계는 양쪽을 모두 다뤄야 합니다.
전자상거래 규제 준수와 관련 규정
사기 방지와 규제 준수는 별개의 일이 아닙니다. 많은 규정은 기업에 법적 의무를 부과해 사기를 방지하는 데 목적이 있습니다. 대부분의 온라인 판매자에게 특히 중요한 체계가 몇 가지 있습니다.
PCI DSS는 카드 데이터의 저장과 처리 방식을 규정하며, 미준수 시 위험뿐 아니라 제재도 따릅니다. 유럽에서는 PSD2와 그에 따른 강력한 고객 인증 요건에 따라 많은 온라인 결제에 추가 검증이 필요합니다. 이는 규제 준수 요건인 동시에 사기 통제 수단입니다. GDPR과 이에 상응하는 개인정보 보호법은 사기 대응에 처리하는 데이터를 포함해 고객 데이터를 수집하고 사용하는 방식을 규율하므로, 사기 방지 도구도 이를 준수해야 합니다. 마켓플레이스를 운영하거나 타인의 자금을 취급한다면 자금세탁방지 의무에 따라 판매자를 파악해야 하며, 이 경우 기업 실사는 권장 관행을 넘어 법적 의무가 됩니다. 제재 규정에 따라 지정된 개인이나 단체와는 그 사실을 알았는지와 관계없이 거래할 수 없으므로 스크리닝은 필수입니다. 실무적으로 보면 실효성 있는 사기 방지 체계를 구축하는 일과 이러한 여러 의무를 충족하는 일은 사실상 같습니다.
모범 관행: 다층 방어 체계 구축
지금까지의 내용을 종합하면, 업계가 시행착오를 거쳐 얻은 모범 관행은 몇 가지 원칙으로 정리됩니다. 통제 수단 하나로는 충분하지 않습니다. 다른 수단이 놓친 것을 각각 잡아내는 여러 계층의 통제가 필요합니다.
- 위험 기반 접근법을 적용합니다. 모든 대상에 똑같이 검토 자원을 배분하기보다 위험이 가장 높은 주문, 고객, 파트너에 가장 엄격한 검토를 집중합니다.
- 두 범주를 모두 방어합니다. 거래 모니터링과 함께 브랜드 사칭을 적극적으로 감시하고 판매자와 공급업체를 실사합니다.
- 기본을 확실히 갖춥니다. PCI 준수, 강력한 인증, 카드 데이터 토큰화를 모든 방어 수단의 토대로 삼습니다.
- 판단이 모호한 영역에는 사람이 참여하도록 하고, 담당자의 판단이 실질적인 가치를 갖도록 충분한 맥락을 제공합니다.
- 적절한 지표를 측정합니다. 사기 발생률과 함께 오거절률도 추적합니다. 하나를 배제한 채 다른 하나만 최적화하면 손실이 발생하는 위치만 바뀝니다.
- 파트너 스크리닝을 일회성으로 끝내지 않고 지속합니다. 온보딩 시 문제가 없던 판매자도 나중에는 문제가 될 수 있기 때문입니다.
- 의사결정의 근거를 제시하고 규제 준수 의무를 충족할 수 있도록 무엇을 왜 확인했는지 감사 가능한 기록을 남깁니다.
이 목록을 살펴보면 대개 빈틈이 분명해집니다. 대부분의 판매자는 거래 측면의 관행은 잘 갖추고 있지만, 기업 정체성과 파트너 측면은 거의 갖추지 못했습니다. 결제 방어 계층은 성숙해 있지만, 기업 정체성과 파트너 계층에는 위험이 조용히 남아 있습니다. 판매자가 의도적으로 무시한 것이 아닙니다. 표준적인 사기 방지 도구 중 이 영역을 겨냥한 것이 없었기 때문입니다.
디지털 사기의 미래
앞으로는 어떻게 될까요? 공격자와 방어자 모두 AI로 무장하는 경쟁으로 향하고 있습니다. 사기범은 이미 생성형 도구로 합성 신원, 음성·영상 딥페이크, 픽셀 단위까지 동일한 복제 쇼핑몰을 만들고 있습니다. 기계의 규모로 작동하며 어떤 고정 규칙보다 빠르게 적응하는 자동화 공격도 수행합니다. 가짜를 더 저렴하고 정교하게 만들 수 있게 되면 거래의 어떤 요소든 위조할 수 있으므로 거래 자체가 제공하는 신호의 신뢰도는 점점 낮아집니다.
방어자에게도 같은 도구가 있습니다. AI와 머신러닝으로 사람이 찾지 못하는 패턴을 발견하고, 오탐을 줄이며, 실시간으로 대응할 수 있습니다. 다만 진정한 변화는 신뢰할 수 있는 신호의 출처가 이동한다는 점입니다. 거래, 신원, 쇼핑몰 등을 위조하기가 점점 쉬워질수록 실제로 효과가 있는 것은 관계망입니다. 그 배후에 있는 사람과 기업의 관계망, 연결 관계, 소유 관계, 이력, 평판입니다. 새로운 결제 인프라와 AI 에이전트가 수행하는 상거래는 계속 새로운 공격 지점을 열 것입니다. 살아남는 판매자는 자사 결제 페이지를 통과하는 거래를 넘어, 그 배후에 누가 있는지 실제로 살피는 기업일 것입니다. 사기 방지의 미래는 더 나은 거래 필터보다 실제 거래 상대를 제대로 아는 데 달려 있습니다.
결제 페이지를 넘어 두 방향 모두 방어
전자상거래 사기는 두 방향에서 들어옵니다. 결제 시스템은 거래를 방어하며, 이는 반드시 필요한 일이지만 Beady의 영역은 아닙니다. 다른 한쪽에는 기업 정체성을 도용하거나 파트너 사이로 침투하는 사기가 있습니다. 결제 도구는 애초에 이 영역을 탐지하도록 설계되지 않았으며, 가짜를 만드는 비용이 낮아질수록 이 영역은 더 커질 것입니다.
Beady는 바로 이 영역을 다룹니다. 기업 브랜드를 사칭하는 가짜 계정과 복제 쇼핑몰을 감시합니다. 판매자, 공급업체, 파트너를 온보딩할 때 제재, 부정적 언론 보도, 소유 관계 위험을 스크리닝하며, 일회성으로 끝내지 않고 지속적으로 수행합니다. 모든 탐지 결과는 원출처와 연결돼 있어 조치를 취할 수 있습니다. Beady는 결제 사기 방지 도구를 대체하지 않습니다. 해당 도구가 다루지 않는 기업 정체성과 파트너 위험의 빈틈을 채웁니다.
이미 브랜드를 사칭하고 있는 가짜 계정이 무엇인지, 또는 온보딩을 앞둔 판매자를 제대로 검증하면 어떤 사실이 드러나는지 확인하려면 데모를 예약하십시오. 함께 확인해 드립니다.
