에쓰오일(S-OIL), 美서 2300만 달러 ‘피싱 사기’ 당한 내막

[더퍼블릭 = 김영일 기자] SK에너지·GS칼텍스·현대오일뱅크와 함께 대한민국 4대 정유사 중 하나인 S-OIL(에쓰오일)이 지난 2018년 미국에서 2300만 달러(약 276억원) 상당의 ‘피싱(phishing)’ 사기를 당한 것으로 전해졌다. 에쓰오일은 2017년 11월 미 국방부(DOD) 군수국(DLA)과 주한미군에 해군용 유류 및 항공유를 납품하는 계약을 맺었는데, 미국 뉴저지에 주소를 두고 있는 에쓰오일 관계자가 피싱사기에 낚여 사기범들에게 금융정보를 넘겨주면서 유류 납품대금을 떼인 것이다.

美 국방부 사칭…유류 납품 대금 떼여

“피싱 당한 적 없다”…거짓 해명 논란

미국 법무부는 지난해 3월 에쓰오일과 현대오일뱅크에 각각 4358만 달러(약 492억원), 8310만 달러(약 939억원)의 벌금을 부과했다.

미 법무부가 주한미군 유류 공급 담합 혐의와 관련, 두 업체와 회사 소속 직원 7명을 기소한데 따른 것이다.

이에 앞서 에쓰오일은 지난 2018년 주한미군 유류 공급과 관련한 ‘피싱(phishing)’ 사기를 당한 것으로 전해졌다.

피싱이란 불특정 다수에게 이메일을 보내 개인정보나 신용카드, 계좌정보 등의 금융정보를 취득해 이를 불법적으로 악용하는 사기 수법이다.

에쓰오일은 이러한 피싱 사기로 2300만 달러(약 276억원) 상당의 피해를 입은 정황이 포착됐다.

시크릿 오브 코리아 편집인인 안치용 씨가 지난 4일 미주 한인 언론 <선데이저널>을 통해 보도한데 따르면, 에쓰오일은 미 국방부(DOD) 군수국(DLA)과 2017년 11월 1일부터 2018년 12월 31일까지 주한미군에 유류를 납품하는 계약을 맺었다. 총 계약금액은 2억 3060만 달러(약 2776억원)에 달했다.

에쓰오일은 2018년 한 해 동안 주한미군에 항공유와 해군용 유류 등을 총 11차례 공급했는데, 특히 미 국방부 군수국은 7월 27일 1008만 갤런(약 3815만 리터), 금액으로 환산하면 2345만 달러(281억원) 상당의 항공유 납품을 에쓰오일에 요청했다.

▲ 미 연방정부 조달데이터 시스템

그런데 이 항공유 납품 건이 피싱 사기를 당한 것이다.

피싱 사기범들은 2018년 8월 6일과 8월 13일, 9월 7일 모두 세 차례 SAM(System for Award Management, 연방조달통합관리시스템) 접속 권한을 가진 에쓰오일 담당자에게 미 국방부를 사칭한 피싱 이메일을 보냈다.

SAM은 우리나라의 ‘나라장터’와 같은 개념으로, 전 세계에 있는 미군 기지에 물품을 조달 할 수 있는 시스템이다.

미 국방부를 사칭한 피싱 사기범들은 에쓰오일 담당자에게 SAM에 접속할 수 있는 아이디와 비밀번호, 또 납품 대금을 입금 받는 은행과 계좌번호 등의 금융정보를 요청했고, 해당 담당자는 별 의심 없이 관련정보를 사기범들에게 알려줬다.

SAM 접속 권한을 가진 에쓰오일 담당자로부터 금융정보를 넘겨받은 사기범들은 SAM에 접속해 유류 납품 대금이 입금되는 에쓰오일 계좌를 자신들이 개설한 ‘TD뱅크’의 계좌로 변경한다.

이 과정에서 사기범들은 미 국방부 측에 2345만 달러(281억원) 상당의 항공유 납품 대금을 언제 지급할 것인지 문의했고, 미 국방부로부터 2018년 10월 9일과 13일 사이에 입금될 것이라는 답변을 받은 사기범들은 10월 10일 미 국방부가 2300만 달러를 TD뱅크에 입금한 것을 확인한 뒤 이 중 45만 9000달러를 다른 계좌로 이체했다.

사기범들은 일부 금액을 다른 계좌로 이체한 직후 TD뱅크 직원에게 ‘뉴욕에서 사용할 경비정 납품계약을 따냈고, 터키에서 2141만 달러의 경비정을 구매할 것’이란 내용의 계약서를 제시했다고 한다.

이는 가로챈 유류 납품 대금을 터키로 빼돌리려 한 것으로 풀이되는데, 피싱 사기의 주범 중 한명은 터키인으로 2014년 9월 미 영주권 지위를 획득했다.

▲ 피싱 사기범들이 에쓰오일 담당자에 보낸 이메일 내용이 적시된 기소장

“피싱 당하지 않았고, 돈도 떼이지 않았다”

피싱 사기를 당한지 몰랐던 에쓰오일은 예정된 항공유 납품 대금이 입금되지 않자 10월 15일 미 국방부에 문의했고, 국방부는 ‘10월 10일 TD뱅크 계좌로 이미 지급됐다’고 전했다.

뒤늦게 피싱 사기를 인지한 에쓰오일 관계자는 미 연방검찰에 피해 사실을 신고했고, 미 연방검찰은 11월 5일 압수수색 영장을 발부받는 등 본격적인 수사에 나섰다.

결국 사기범들은 지난 1월 재판(뉴저지 지방법원)에 넘겨졌으나, 이에 앞서 사기범들은 10만 달러의 보석금 납부 및 TD뱅크 계좌 있는 예금 압수에 동의하는 조건으로 풀려나 불구속 상태에서 재판을 받는 상황이다.

<선데이저널>의 이 같은 단독보도에 대해, 에쓰오일 측은 <본지>와의 통화에서 “(해당 보도는)전혀 사실이 아니다”라며 “피싱 당하지 않았고, 돈도 떼이지 않았다”며 사실무근이라고 주장했다.

‘해당 보도가 사실이 아니라면 해당 보도에 대한 법적조치를 취할 예정인가’라는 물음에는 “사실이 아니라는 것만 확인이 됐고, 후속 조치에 대해선 아직 (지침이)내려온 게 없다”고 했다.

▲ 에쓰오일 담당자가 뒤늦게 피싱 사실을 인지한 정황을 적시한 기소장

기소장·계약번호·이메일 등 피싱 당한 정황 역력

다만, <본지>가 뉴저지 지방법원 홈페이지를 통해 확인한 미 연방검찰의 기소장에는 에쓰오일이 피싱을 당한 정황이 역력히 드러나 있다.

미 연방검찰 기소장에는 피해기업을 에쓰오일이라 적시하진 않았다. 피해기업을 ‘기업1(Corporation1)’로 무기명 처리 했는데, 이 기업1의 본사는 대한민국 서울에 있고 약 66만 9000배럴의 원유를 정제한다고 설명했다.

에쓰오일의 본사는 서울 마포구 공덕동에 위치하고 있으며, 에쓰오일 홈페지에는 “울산광역시 온산공단에 하루 66만9천배럴의 원유정제시설과 석유화학제품, 윤활기유를 생산하는 시설을 갖추고 있다”고 밝히고 있다.

또한 기소장에는 미 국방부 군수국과 피해기업 간 유류납품 관련 계약번호가 기지돼 있다. ‘미 국방부는 기업1에 SPE602-18-D-0455/납품 주문서 SPE602-18-F-C-143을 부여했다. 계약 금액은 2345만 달러였다’고 설명했다.

미 연방정부 조달데이터시스템에서 해당 계약번호를 검색하면 해당 계약자는 에쓰오일로 되어 있다.

아울러 기소장에는 피싱 사기범들이 기업1의 SAM 접속 권한을 가진 ‘피해자1’에게 3차례 피싱 이메일을 보냈다고 되어 있는데, 피해자1의 이메일 주소는 ‘lwpllc.ek@gmail.com’이다.

구글을 통해 해당 이메일을 검색하면 해당 이메일 사용자는 뉴저지 포트리 16번가를 주소로 두고 있는 ‘에릭 킴’이고, 이 에릭 킴은 에쓰오일 SAM 접속 권한을 가진 담당자로 확인된다.

정리하자면, 앞서 언급했던 것처럼 피싱 사기범들은 2018년 8월 6일과 8월 13일, 9월 7일 모두 세 차례 lwpllc.ek@gmail.com 메일을 사용하고 SAM접속 권한을 가진 에쓰오일 담당자 에릭 킴에게 미 국방부를 사칭한 피싱 이메일을 보내 유류 납품 대금을 가로채는 사기를 친 것이다.

이처럼 미 연방검찰의 기소장과 미 연방정부 조달데이터시스템을 확인한 결과, ‘피싱도 당하지 않았고, 돈도 떼이지 않았다’는 에쓰오일의 주장은 사실이 아닌 ‘거짓 해명’에 무게가 실린다.

▲ 첫번째=미 연방정부 조달데이터 시스템 두번째=에쓰오일 담당자 이메일이 적시된 기소장  세번째=미 정부 데이터 홈페이지

그렇다면 에쓰오일은 피해자 임에도 ‘피싱도 당하지 않았고, 돈도 떼이지 않았다’고 주장하는 이유는 무엇일까.

당초 미 국방부 군수국과 에쓰오일이 2017년 11월 1일부터 2018년 12월 31일까지 주한미군에 유류를 납품하는 계약을 체결할 당시, GS칼텍스(2017년 11월1일~2019년 1월 30일)와 현대오일뱅크(2017년 11월 1일~2019년 1월 30일), SK에너지(2017년 11월 1일~2019년 1월 30일) 등도 유류 납품 계약을 체결했다.

이에 따라 피싱 사기범들은 에쓰오일 외에도 GS칼텍스·현대오일뱅크·SK에너지 등에도 피싱 메일을 보냈을 가능성을 배제할 수 없다.

그도 그럴 것이 미 연방검찰의 기소장에는 사기범들은 에쓰오일 뿐 아니라 미 국방부 조달업체를 상대로 미 국방부를 사칭한 피싱 메일을 광범위하게 보냈다고 설명하고 있다.

이에 따라 나머지 정유사들은 피싱에 걸려들지 않은 반면 에쓰오일만 피싱 사기에 당해 2300만 달러 상당의 유류 납품 대금을 떼인 것이 아니냐는 의구심이 제기된다.

더퍼블릭 / 김영일 기자 kill0127@thepublic.kr 

더퍼블릭 / 김영일 kill0127@thepublic.kr