경기도, 공공기관 직원 명의 도용 피해 주의 당부

17일간 세 차례 사칭 실제 금전 피해 이어져

경기도청 전경 (사진=경기도 제공)

경기도 미래세대재단을 사칭한 범죄가 17일 사이 세 차례나 발생한 가운데 한 업체가 3,200만원의 금전 피해를 입으면서 재단의 사후 대응체계가 시험대에 올랐다.

이번 사건에서 눈여겨볼 대목은 사칭범이 단순히 재단 이름을 가져다 쓴 데 그치지 않았다는 점이다.

직원 명함과 직책을 내세우고 긴급발주서까지 위조하면서 실제 재단 내부에서 발주가 이뤄진 것처럼 거래업체를 속였다.

특히 재단과 거래한 이력이 있는 업체까지 범행 대상으로 삼으며 범죄 수단으로 활용한 것으로 드러나 문제가 심각하다.

■ '직원 정보'는 어떻게 범행의 신뢰도가 됐나

확인된 사례에서 사칭범은 재단 재무회계팀장 등을 사칭해 3D프린터 구매를 요구했다.

업체가 의심하지 않도록 직원 명함과 긴급발주서 등을 제시했다. 정상적인 공공기관 구매 업무와 유사한 외형을 만들어낸 것이다.

결과적으로 허위 발주 여부를 확인한 업체가 재단에 직접 문의하면서 사칭 사실이 드러났다. 사칭범은 왜 특정 직원의 직책과 기관 업무를 활용할 수 있었는가 이다.

직원 이름과 직책, 부서 정보 등이 외부에 공개된 정보였는지, 거래 과정에서 확보된 정보가 악용된 것인지, 위조 문서에 사용된 정보가 어디에서 유출됐는지는 향후 수사와 함께 확인해야 할 부분이다.

특히 실제 거래업체를 대상으로 범행이 이뤄졌다는 점은 단순한 무작위 사칭과 차이가 있다.

기관과 거래했던 업체라는 사실을 알고 접근했다면 사칭범이 거래 관계나 기관 업무에 관한 정보를 어느 정도 파악하고 있었을 가능성도 배제하기 어렵다.

■ 3건 발생 '주의 당부'만으로 충분한가

재단은 사건 이후 수사기관에 고소하고 관련 자료를 제출했다. 거래업체와 경기지역 공공기관에도 피해 사실을 공유했으며 직원 정보와 공식문서 관리체계를 점검하겠다는 방침이다.

하지만 실제 예방 효과를 판단하려면 선언적인 대응과 구체적인 시스템 개선을 구분해서 볼 필요가 있다.

'공식 연락처를 통해 확인해 달라'는 안내만으로는 사칭범이 명함과 공문까지 위조하는 상황을 완전히 차단하기 어렵다.

중요한 것은 거래업체가 정상 발주인지 여부를 기관에 쉽고 확실하게 확인할 수 있는 구조가 마련돼 있는지다.

고액 물품 구매나 긴급발주처럼 평소와 다른 거래가 발생할 경우 기관 대표번호를 통한 재확인 절차가 작동하는지, 담당자 개인 연락처가 아닌 공식 채널을 통한 발주 확인이 가능한지 등을 구체적으로 따져봐야 한다.

■ 피해 업체가 먼저 확인한 사실도 주목해야

이번 사건에서 사칭 사실을 밝혀낸 계기는 피해 업체의 자체적인 확인이었다.

업체가 재단에 직원의 실제 재직 여부를 문의하면서 허위 발주임이 확인됐다.

한편으로는 거래업체의 주의가 피해 확산을 막았다는 의미지만, 다른 한편으로는 기관 차원의 선 제적인 발주 인증체계가 충분했는지 이다.

공공기관 거래에서 업체가 문서와 명함의 진위를 일일이 판별해야 한다면 기관의 신뢰를 악용한 범죄를 민간업체의 주의만으로 막아야 하는 상황이 될 수 있기 때문이다.

특히 대리구매나 선결제, 긴급발주처럼 정상적인 계약 절차와 다른 요청이 발생할 경우 이를 즉시 확인할 수 있는 별도 경고체계가 있는지도 중요하다.

재발 방지의 핵심은 '정보를 덜 보여주는 것'이 아니다 공공기관의 직원 이름이나 부서 정보 자체를 모두 숨기는 것은 현실적으로 어렵다.

따라서 핵심은 공개된 정보가 악용되더라도 실제 거래로 연결되지 않도록 검증 절차를 겹겹이 두는 것이다.

직원정보 관리부터 공식문서 발급, 거래업체 연락, 발주 확인까지 각각의 단계에서 진위를 확인할 수 있는 장치가 필요하다.

아울러 거래업체에 사칭 사례를 단순 공지하는 데 그치지 않고 실제 의심 사례가 발생했을 때 어디로 연락하고 무엇을 확인해야 하는지 구체적인 대응 매뉴얼을 제공하는 것도 필요하다.

■ 3건·3,200만원 이후 무엇이 바뀌었나

이번 사건의 진짜 검증 대상은 사칭범의 수법이 아니다.

범죄자는 새로운 방법으로 다시 접근할 수 있다. 문제는 같은 방식의 접근이 다시 들어와도 피해가 발생하지 않는 구조를 만들었느냐다.

재단은 수사기관 고소와 거래업체 대상 안내에 이어 정보관리체계를 점검하겠다고 밝혔다. 그렇다면 이후 실제로 어떤 정보관리 기준이 바뀌었는지, 공식 발주 확인 절차가 신설 또는 강화됐는지, 기존 거래업체에 어떤 예방조치를 적용했는지 확인할 필요가 있다.

또 추가 사칭 사례가 발생했는지, 기존 사례 이후 재단 명의의 의심스러운 구매 요청을 어떻게 걸러냈는지도 중요한 사후 검증 지표다.

이번 사건은 공공기관의 신뢰가 범죄에 악용될 경우 피해가 기관 밖으로 전가될 수 있다는 사실을 보여줬다.

17일 동안 세 차례 사칭이 발생했고 실제 피해액만 3,200만원에 달했다면 단순한 '업체 주의사항'으로 치부하기에는 무게가 가볍지 않다.

재단이 이번 사건을 계기로 얼마나 구체적인 정보관리와 거래 검증 시스템을 구축했는지가 핵심이고, 수사 결과와 별개로, 3,200만원 피해 이후 재단의 내부 통제체계가 실제로 달라졌는지를 확인해야 한다. 경기=이인국 기자