1,462명 검거와 1억 500만 달러 환수: 인터폴 세렝게티 작전이 폭로한 AI 결합형 기업 송금 사기 실태
인터폴이 주도한 3차 세렝게티 작전을 통해 아프리카 20개국과 미국에 걸친 거대 사이버 범죄 조직이 적발되었다. 생성형 AI와 이메일 210만 건을 악용한 기업 이메일 사기(BEC)와 불법 암호화폐 세탁의 구조를 분석하고 기업 실무 방어 전략을 정리한다.
발행일: 2026.10.29
20개국 공조로 불법 전산망 11,000개 폐쇄
상시 활용 8% · 선별 활용 47%
아프리카 36개 회원국 현장 전수 조사 결과
20개국 1,462명 검거와 1억 500만 달러 환수: 기업형으로 진화한 초국가적 사기 카르텔
방구석에 숨은 단독 해커가 악성코드를 뿌리던 시대는 지났다. 오늘날의 사이버 범죄는 인사 채용부터 다국적 콜센터 운영, 대규모 자금 세탁까지 철저하게 분업화된 하나의 대기업처럼 움직인다.
국제형사경찰기구(인터폴)는 아프리카 20개국 및 미국 수사기관과 2달 동안 합동 수사를 펼쳐 1,462명의 사이버 범죄 용의자를 붙잡고, 도난당한 자금 1억 500만 달러(한화 약 1,400억 원)를 회수했다고 발표했다. 이번 ‘세렝게티 3차 작전(Operation Serengeti III)‘을 통해 강제 폐쇄된 불법 인프라와 악성 명령 제어(C2) 서버만 해도 1만 1,000개에 달한다.
이번 단속에서 드러난 범죄 조직의 형태는 충격적이다. 우간다에서는 아시아 노년층을 표적으로 삼아 가짜 암호화폐 투자 사이트를 운영하던 2개 조직이 적발되었는데, 현장에서 체포된 365명은 대부분 다른 나라에서 인신매매나 취업 사기로 끌려온 외국인 노동자였다. 교대 근무 체제로 돌아가는 대형 콜센터에서 매뉴얼화된 각본에 따라 피해자를 속인 것이다. 앙골라에서는 불법 암호화폐 채굴장 2곳에서 시가 100만 달러가 넘는 불법 변압기 6대와 채굴 기기 2,000여 대가 압수되었다. 사기로 편취한 돈을 국가 간 추적이 어려운 암호화폐로 세탁하기 위해 대규모 발전 시설까지 불법으로 가설했다.
가장 위협적인 대목은 나이지리아에서 적발된 기업 이메일 사기(BEC) 조직이다. 이들은 수집한 이메일 주소 210만 건에 인공지능(AI)을 결합했다. 링크드인 같은 비즈니스 소셜미디어에서 거래처 임원의 이력과 사내 직책을 긁어모은 뒤, 실제 임원의 문체와 어휘를 그대로 흉내 낸 가짜 송금 요청 메일을 자동 생성해 글로벌 기업 재무팀으로 발송했다.
아프리카 20개국 및 미국 합동 수사 성과
도난 계좌 동결 및 암호화폐 몰수 금액
피싱 호스팅 및 C2 명령 제어 서버 차단
인터폴이 발간한 2026년 아프리카 사이버 위협 평가 보고서에 따르면, 조사 대상 36개국 중 72%에서 이러한 조직형 사기 콜센터 거점이 실제로 확인되었다. 더 나아가 전체 사이버 범죄 사건의 55%에서 공격자가 인공지능 기술을 적극 활용한 것으로 나타났다. 범죄 집단이 인공지능으로 공격 단가를 낮추고 파괴력을 키우는 동안, 기업의 기존 결재망과 보안 수칙은 무력하게 뚫리고 있다.
연도별 단속 지표와 기술 투입도: 갈수록 거대해지는 위협 지형
인터폴의 세렝게티 작전은 2024년 1차 작전을 시작으로 매년 단속 범위를 넓혀왔다. 검거 인원이 매년 가파르게 늘어나는 것은 현지 범죄 발생 건수가 폭증한 탓도 있지만, 국경을 넘는 다국적 공조 수사 체계가 자리 잡으면서 적발률 자체가 크게 올라갔기 때문이다.
과거에는 나이지리아나 우간다에서 활동하는 범죄자가 미국이나 유럽, 아시아의 기업을 공격하면 관할권 문제로 수사가 가로막히기 일쑤였다. 그러나 글로벌 사이버 위협 인텔리전스 기관인 팀 쿰리(Team Cymru) 같은 민간 보안 데이터 기업이 수사 개시 전부터 악성 IP와 지휘 서버를 추적해 정보를 공유하면서 수사의 속도가 획기적으로 빨라졌다.
| 구분 지표 | 세렝게티 1차 (2024년) | 세렝게티 2차 (2025년) | 세렝게티 3차 (2026년) | 증가 추이 및 변동 폭 |
|---|---|---|---|---|
| 총 검거 인원 | 1,006명 | 1,209명 | 1,462명 | 1차 대비 +45.3% 증가 |
| 피해 자금 회수액 | 약 4,200만 달러 | 약 7,800만 달러 | 1억 500만 달러 | 누적 회수 규모 가파른 확대 |
| 차단된 불법 악성망 | 약 4,500개소 | 약 7,200개소 | 약 11,000개소 | 2.4배 이상 강제 차단 |
| 수사 참여 국가 | 12개국 | 16개국 | 20개국 + 미국 | 초국가적 공조망 확장 |
| 범죄 내 AI 활용률 | 미집계 (초기 단계) | 약 25% 추정 | 55% (상시 8% · 간헐 47%) | 피싱 문체 복제 및 타깃 자동화 |
| 주요 범죄 수법 | 단순 대포통장 피싱, 랜섬웨어 | 로맨스 스캠, 가상자산 사기 | AI 기반 BEC, 다국적 사기 콜센터 | 기업형 분업화 및 대형화 |
사이버 범죄 수법의 변화에서 주목할 점은 공격의 진입 장벽이 무너졌다는 사실이다. 이전에는 고도의 코딩 능력을 갖춘 전문 해커가 필요했지만, 지금은 오픈소스 거대언어모델(LLM)과 자동화 스크립트만 있으면 초보자도 수백만 명을 겨냥한 정교한 타깃형 공격을 실행할 수 있다.
아래 시뮬레이션 데이터는 글로벌 무역 및 B2B 거래 기업이 AI 결합형 이메일 사기에 노출되었을 때 발생하는 피해 규모와 조기 차단 시의 지출 방어 효과를 추정한 수치다.
사전 다채널 승인 규칙 도입 전후 건당 평균 직간접 손실 비교 (업계 평균 추정치)
생성형 AI와 이메일 210만 건의 결합: 기업 현장을 흔드는 3대 실무 타격
이번 인터폴 발표는 보안이 단순한 전산실의 방화벽 관리 문제가 아니라, 기업의 생존과 직결된 자금 관리의 문제임을 명백히 보여준다. 범죄 집단의 지능화는 실제 기업 실무에 세 가지 직접적인 타격을 입히고 있다.
1. 임원 사칭과 송금 탈취(BEC): 정교해진 말투 복제로 무너지는 내부 결재선
나이지리아에서 적발된 범죄 조직은 210만 건의 기업 이메일 주소를 확보한 뒤, AI 에이전트를 이용해 표적 기업의 조직도와 거래처 관계망을 자동으로 수집했다. 링크드인이나 회사 홈페이지에 공개된 임원진의 대외 인터뷰, 기고문, 보도자료를 AI에게 학습시켜 해당 임원이 평소 부하 직원에게 쓰는 이메일 특유의 어투, 인사말, 문장 길이까지 완벽하게 재현했다.
과거의 어색한 번역투 피싱 메일은 실무자가 육안으로도 쉽게 걸러낼 수 있었다. 하지만 AI가 작성한 메일은 사내 결재 메일과 구별이 불가능하다. “김 팀장, 어제 협의한 싱가포르 원자재 공급사 계약 건과 관련해 긴급 변경 계좌로 선급금 8만 달러를 오늘 14시 전까지 송금하게. 세부 인보이스는 첨부 문서를 확인하고 보고는 메신저로 간략히 남겨주게.”라는 식의 메일을 대표이사 명의로 받으면, 실무진은 의심 없이 사내 자금을 범죄자의 차명 계좌로 이체하고 만다.
2. 암호화폐 채굴 및 자금 세탁: 불법 전력망과 차명 지갑을 통한 추적 회피
앙골라에서 적발된 대규모 채굴 시설은 범죄 수익금 세탁의 종착지가 어디인지를 명확히 보여준다. 범죄자들은 편취한 현금을 기존 은행망으로 옮기면 금융정보분석원(FIU)의 이상거래탐지시스템에 걸려 계좌가 즉각 동결된다는 사실을 잘 알고 있다.
따라서 이들은 훔친 자금을 쪼개어 수십 개의 차명 가상자산 지갑으로 분산한 뒤, 불법 채굴 시설을 통해 새로운 코인과 섞는 ‘믹싱’ 및 세탁 작업을 거친다. 100만 달러 규모의 산업용 변압기를 설치해 국가 전력망을 무단 점거하고 채굴 기기 2,000대를 돌린 이유는, 세탁된 암호화폐를 최종 현금화해 해외로 빼돌리기 위한 자금 정거장을 만들기 위함이었다. 일단 암호화폐로 세탁이 끝나면 국경을 넘나드는 추적이 극도로 어려워져 기업이 피해금을 돌려받을 확률은 바닥으로 떨어진다.
3. 다국적 콜센터 외주화: 국가 간 규제 공백을 파고드는 조직망
우간다에서 적발된 사례는 사이버 사기가 더 이상 개별 프로그램 개발자의 영역이 아니라, 노동집약적인 ‘콜센터 산업’으로 변질되었음을 증명한다. 범죄 총책은 법 집행력이 취약하거나 외국인 감시가 느슨한 아프리카 현지에 거점을 차리고, 아시아나 유럽 등 부유한 국가의 피해자를 노린다.
피해 국가의 경찰이 수사에 착수하더라도 범죄 현장은 수천 킬로미터 떨어진 아프리카 대륙에 있고, 콜센터에서 일하는 노동자는 다른 나라 국적자이며, 서버는 제3국 클라우드에 분산되어 있다. 관할권이 쪼개져 있는 사이 범죄자들은 증거를 인멸하고 또 다른 국경으로 이동한다. 글로벌 거래처와 매일 송금을 주고받는 국내 무역 기업이나 외화 결제 빈도가 높은 전자상거래 기업일수록 이러한 초국가적 사기망의 손쉬운 표적이 된다.
위협 인텔리전스(TI) 기반의 사전 차단 공조: 팀 쿰리와 인터폴의 대응 모델
사후 수사만으로는 피해 자금을 되찾기 어렵다. 이미 해외 지갑으로 쪼개져 나간 돈을 회수하는 과정은 수개월에서 수년이 걸리며, 그마저도 전액을 돌려받는 경우는 드물다. 이번 세렝게티 3차 작전이 역대 최대 성과를 거둘 수 있었던 핵심 비결은 ‘사전 차단(Proactive Takedown)’ 방식의 도입에 있다.
인터폴과 공조한 민간 사이버 보안 데이터 기업 팀 쿰리는 전 세계 인터넷 트래픽과 도메인 등록 정보, 악성 C2 인프라를 실시간으로 분석했다. 공격자가 피싱 메일을 발송하거나 피해자에게 접근하기 전에, 공격에 쓰일 가짜 도메인과 명령 서버의 인터넷 주소(IP)를 수사기관에 미리 전달한 것이다.
민간 위협 인텔리전스와 다국적 수사기관의 실시간 공조 모델
글로벌 트래픽 분석으로 악성 C2 서버와 가짜 도메인 사전 식별
범죄 인프라가 위치한 20개 회원국 수사기관에 타깃 좌표 전파
불법 채굴장·콜센터 압수수색 및 암호화폐 지갑 긴급 동결
실무 현장의 기업들도 이러한 정보 공유 체계를 보안 전략에 반영해야 한다. 우리 회사 내부 침입만을 감시하는 울타리형 보안에서 벗어나, 외부에서 우리 회사 임원의 이름이나 도메인을 도용해 사기 인프라를 구축하고 있는지 미리 감시하는 ‘위협 인텔리전스(Threat Intelligence)’ 체계로 패러다임을 전환해야 한다.
기업 도메인과 철자 하나만 다른 유사 도메인(예: company.com 대신 cornpany.com)이 해외 호스팅 업체에 등록되는 순간 이를 자동으로 감지해 사내 메일 수신을 원천 차단하는 기술적 조치가 동반되지 않는다면, 인간의 주의력에만 의존하는 보안 교육은 무용지물로 전락한다.
글로벌 해킹 및 송금 사기 방어: 기업 재무·보안 실무진을 위한 3단계 방어선
인터폴의 대규모 소탕에도 불구하고 조직화된 범죄 집단은 또 다른 규제 취약국을 찾아 거점을 재건할 것이다. 생성형 AI 도구가 보편화되면서 타깃형 송금 사기의 정밀도는 갈수록 높아지고 있다. 실무진이 회사 자금을 안전하게 지키기 위해 즉시 현장에 구축해야 할 3단계 방어선은 다음과 같다.
실무 현장의 취약점을 틀어막는 구체적인 행동 수칙
거래처 계좌 변경 요청 시 이메일 외 사전 지정된 유선 전화로 직접 확인
외부 보안 인텔리전스를 활용해 임원 사칭 도메인 및 C2 인프라 자동 격리
오송금 발생 즉시 외환 송금 은행 및 경찰청 사이버수사국 핫라인 가동
1차 방어선: 거래처 계좌 변경 시 다채널 교차 검증 의무화
모든 송금 사고의 90% 이상은 “거래처 계좌가 변경되었다”는 이메일 한 통에서 시작된다. 아무리 급박한 일정이나 임원의 긴급 지시가 있더라도, 기존에 등록되지 않은 신규 계좌로 대금을 보낼 때는 반드시 이메일이 아닌 다른 수단으로 재확인하는 사내 규정을 강제해야 한다.
- 전화 교차 확인 규칙: 이메일 서명란에 적힌 전화번호로 걸면 해커가 전화를 받는다. 반드시 기존 계약서에 적힌 거래처 대표번호나 사전에 등록된 담당자 휴대폰으로 직접 통화하여 계좌 변경 사실을 육안 및 육성으로 확인한다.
- 송금 2인 승인제: 단일 담당자의 전결 권한을 제한하고, 일정 금액(예: 미화 1만 달러) 이상의 외화 송금 시에는 재무팀장과 담당 임원의 2단계 독립 승인을 거치도록 사내 뱅킹 시스템을 재설계한다.
2차 방어선: 다크웹 및 위협 인텔리전스 기반의 선제적 네트워크 필터링
사내 임직원 계정이 이미 다크웹에 유출되었거나, 해커가 회사 임원의 이름을 사칭해 도메인을 파고 있는지 외부 관점에서 상시 감시해야 한다.
- 유사 도메인 선제 점검: 회사 공식 도메인과 시각적으로 유사한 사기성 도메인이 등록되었는지 감시하고, 사내 메일 서버에서 발신자 도메인 유효성 검증(SPF, DKIM, DMARC)을 엄격한 차단 모드로 활성화한다.
- 다요소 인증(MFA) 강제: 업무용 이메일, ERP, 협업 도구 로그인 시 단순 비밀번호 입력을 금지하고 모바일 일회용 비밀번호(OTP)나 하드웨어 보안 키를 통한 다요소 인증을 전사 의무화한다. 계정 정보가 유출되더라도 해커가 사내 메일망에 접속해 거래 내역을 엿보는 행위를 막을 수 있다.
3차 방어선: 사고 발생 시 인터폴 공조 및 암호화폐 거래소 즉각 동결 프로토콜
만약 실수로 사기 계좌에 송금했음을 인지했다면, 그 즉시 골든타임(24시간 이내) 대응 체계로 전환해야 한다. 범죄 조직이 자금을 해외로 쪼개어 암호화폐로 세탁하기까지 보통 반나절이 걸리지 않는다.
- 지급 유예 및 긴급 지급정지 신청: 즉시 거래 은행의 외환 담당 부서에 연락하여 사기 이용 계좌에 대한 송금 취소 및 지급유예 조치를 요청한다.
- 경찰청 사이버수사국 및 인터폴 핫라인 접수: 사건 발생 즉시 이메일 원문 헤더와 주고받은 메신저 기록, 계좌 명세서를 취합해 수사기관에 정식 고발장을 접수하고, 국경을 넘은 사건인 경우 인터폴 금융범죄대응센터와 공조가 가능한지 확인해야 한다. 초기 48시간 이내에 현지 사법 당국과 공조 계좌 동결이 이루어지지 않으면 회수율은 급격히 떨어진다.