2026-08-26

집 살 때 이메일로 오가는 대출·잔금 서류, 암호화해야 할까?

집을 산다는 것은, 대부분의 사람이 생전 처음 보는 타인들에게 자신의 금융 생활 전체를 이메일로 보내게 되는 유일한 시기입니다. 표준적인 주택담보대출 심사는 최근 급여명세서, 원천징수영수증이나 2년 치 소득 신고서, 몇 달 치 은행 거래내역, 정부 발급 신분증을 요구하고 — 자영업자라면 더 많은 서류가 붙습니다. 계약에서 잔금까지, 그 파일들의 사본은 대출 담당자, 공인중개사, 타이틀 회사, 에스크로 담당자, 때로는 변호사에게로 퍼져 나갑니다 — 당신이 결코 볼 수도, 감사할 수도 없는 받은편지함과 백오피스 시스템의 사슬입니다. 이 집중 현상을 심각하게 받아들여야 할, 문서로 확인되는 이유가 두 가지 있습니다. 당신의 서류 뭉치가 최종적으로 도착하는 업계는 기록상 최악급의 문서 노출 전력을 갖고 있고, 그 서류를 실어 나르는 이메일 스레드는 별개의 범죄 — 잔금 송금 사기 — 가 발판을 마련하는 바로 그 장소이기 때문입니다. 이 글은 그 두 가지를 차례로 살펴본 뒤, 파일을 직접 암호화하는 것이 이 문제의 어느 부분을 실제로 해결할 수 있는지 솔직하게 짚습니다.

서류가 도착하는 업계의 전력

2019년 5월, Krebs on Security는 미국 최대급 타이틀 보험사 First American Financial이 2003년까지 거슬러 올라가는 부동산 거래 문서 약 8억 8,500만 건을 공개 웹사이트에 노출해 왔다고 폭로했습니다 — 은행 계좌번호와 거래내역, 대출· 세금 기록, 사회보장번호, 송금 영수증, 운전면허증 이미지까지. 결함은 고도의 해킹이 아니었습니다. 문서 하나의 링크만 갖고 있으면 URL의 숫자 한 자리를 바꾸는 것만으로 다른 사람의 문서를 읽을 수 있었습니다 — 비밀번호도, 어떤 인증도 없이. 뉴욕주 금융감독청은 이 유출을 두고 회사를 제소했고 사건은 2023년 말 100만 달러 합의로 마무리됐으며, 공시 실패를 다룬 SEC의 별도 조치는 Krebs가 "우스꽝스럽다(farcical)"고 표현한 50만 달러 미만의 과징금으로 끝났습니다. 4년 뒤에는 또 다른 타이틀 업계 공룡의 차례였습니다. 2023년 11월 Fidelity National Financial은 ALPHV/BlackCat 조직의 소행으로 지목된 랜섬웨어 공격을 받아 약 130만 명의 고객 데이터가 탈취됐다고 공시했고, 약 일주일간 자사 시스템 접근을 차단해야 했습니다 — 그동안 타이틀 보험·에스크로·모기지 거래가 전국적으로 마비되어 잔금 일정들이 멈춰 섰습니다. 이것이 당신이 거래하는 특정 회사가 부주의하다는 뜻은 아닙니다. 다만 당신의 서류 뭉치가 도착하는 곳이, 공격자들이 실제로 노리고 실제로 산업적 규모로 유출을 낸 전력이 있는 범주의 회사이며, 유출된 것이 바로 대출 심사가 요구하는 그 문서 유형들이었다는 뜻입니다.

송금 사기는 이메일 스레드에서 시작된다

두 번째 문제는 당신에게 더 가까운 곳, 거래의 이메일 스레드 자체에 있습니다. 부동산 잔금 사기는 FBI가 기업 이메일 침해(BEC)라고 부르는 범죄의 전문 분야입니다. 범인은 거래 관계자 — 중개사, 타이틀·에스크로 담당자, 때로는 매수인 본인 — 의 받은편지함에 침투한 뒤 조용히 스레드를 읽습니다. 스레드는 모든 것을 알려줍니다. 당사자가 누구인지, 거래가 어느 단계인지, 돈이 언제 움직이는지. 그리고 적절한 순간에, 타이틀 회사가 보낸 것처럼 보이는 송금 안내를 자신들이 통제하는 계좌로 보냅니다. FBI 인터넷범죄신고센터(IC3)는 2024년 한 해에만 BEC 신고 21,442건, 피해액 27억 7천만 달러를 집계했습니다 — 2024년 연례 보고서에는 부동산 잔금을 치르던 한 피해자가 침해된 "타이틀 회사" 계정에서 온 이메일로 130만 달러가 넘는 금액을 사기 계좌로 보내라는 송금 안내를 받은 사례가 실려 있고, FBI의 2024년 9월 공공 경보는 직전 10년간의 누적 BEC 피해 규모를 550억 달러 이상으로 추산합니다. 개별 거래 수준에서도 드문 일이 아닙니다. CertifID의 2026년 송금 사기 실태 보고서에서 조사에 응한 주택 매수·매도인의 26%가 잔금 과정에서 수상하거나 사기성인 연락을 받았다고 답했고, 4.7%는 실제로 송금 사기 피해를 입었다고 보고했으며, 위에서 말한 가짜 안내 시나리오인 매수인 잔금 사기가 가장 흔한 유형으로 피해액 중앙값은 239,850달러 였습니다. 같은 회사의 전년도 보고서는 생애 첫 매수자가 경험 있는 매수자보다 세 배 더 잘 당한다는 것을 발견했습니다 — 정상적인 잔금 절차가 어떤 모습인지 가장 모르는 사람들입니다.

서류를 암호화하면 실제로 달라지는 것

당사자 사슬을 줄일 수도, 타이틀 업계를 고쳐줄 수도 없습니다. 당신이 통제할 수 있는 것은 서류가 그 사슬에 들어갈 때의 형태, 그리고 사본이 쌓이는 모든 곳에 무엇이 읽을 수 있는 상태로 남느냐입니다. 파일을 첨부하기 전에 암호화하고, 패스프레이즈는 대출 담당자에게 전화로 읽어 주세요 — 어차피 걸어야 할 전화입니다. 뒤에서 다시 말하겠습니다 — 그러면 침해된 받은편지함의 셈법이 구체적으로 달라집니다. 스레드를 읽는 침입자는 누가 언제 대화하는지는 여전히 보지만, 수확한 첨부파일은 암호문입니다. 훔친 것들 중 신원 도용의 알짜 재료였을 은행 거래내역, 소득 신고서, 신분증 스캔본이 어떤 메시지에도 등장한 적 없는 패스프레이즈 없이는 읽을 수 없게 됩니다. 거래가 끝난 뒤에도 살아남는 사본들 — 몇 년 뒤에도 보낸편지함에 남아 있을 사본, 다운로드 폴더의 사본, 당신이 보관하는 잔금 서류 아카이브 — 에도 똑같이 적용됩니다. 그 오래 사는 사본들은 상대방의 협조가 전혀 필요 없는, 온전히 당신 몫의 보호 대상이고, 훗날 당신의 이메일 계정이나 노트북이 뚫렸을 때 통째로 넘어갈 바로 그 파일들입니다. 대출 기관이 제대로 된 보안 업로드 포털을 제공한다면 그것을 쓰세요 — 그 구간에는 그게 맞는 도구입니다. 클라이언트 측 암호화가 제값을 하는 곳은 평문 이메일만이 유일하게 통하는 구간, 그리고 그 뒤에 남는 모든 사본입니다.

솔직히 해줄 수 없는 것

한계 두 가지를 분명히 말해두겠습니다. 첫째, 거래 당사자들은 일을 하려면 당신의 서류를 읽어야 합니다 — 타이틀 회사는 당신이 보낸 것을 복호화해 자기 시스템에 저장하고, 그 순간부터 그 사본들은 당신의 암호화가 보호하지 못합니다. 당신이 무엇을 했든 First American의 웹사이트가 유출한 것은 달라지지 않았을 것입니다. 보내는 것을 암호화하면 당신 쪽 노출면 — 경유하는 모든 받은편지함, 전달, 잔류 사본 — 은 줄지만, 상대방의 인프라 안까지는 미치지 않습니다. 둘째, 암호화 자체는 송금 사기를 막지 못합니다. 송금 사기는 당신의 서류를 읽는 것이 아니라, 적절한 순간에 당신을 속이는 것을 필요로 하기 때문입니다. 그에 대한 방어는 절차적이고, FBI의 경보가 명시하는 바로 그것입니다. 송금 안내와 그 어떤 변경 사항이든, 독립적으로 확보한 전화번호 — 첫 대면 미팅에서 받았거나 타이틀 회사의 검증된 웹사이트에 있는 번호로, 절대 그 안내를 실어 온 이메일 속 번호가 아니라 — 로 전화해서 확인하세요. 기분 좋은 우연은, 첨부파일을 암호화하면 그 전화에 두 번째 임무가 생긴다는 것입니다. 계좌번호를 확인하는 바로 그 통화가 패스프레이즈를 실어 나르는 통로가 됩니다.

NearSeal이 맞는 지점

NearSeal은 전적으로 브라우저 안에서 파일을 암호화합니다. 파일도 패스프레이즈도 기기를 벗어나지 않습니다 — 계정도 업로드도 없고, 네트워크 탭에서 아무것도 전송되지 않는다는 것을 직접 확인할 수 있습니다. 암호화는 AES-256-GCM으로 하고, 키는 패스프레이즈에서 PBKDF2-SHA256을 2²⁰회 반복해 유도하며, 복호화할 때는 파일 이름이나 확장자가 아니라 실제 바이트로 암호화된 파일임을 인식합니다 — 그래서 받는 쪽의 타이틀 회사 직원은 같은 웹사이트를 열고 파일을 떨어뜨린 뒤 당신이 전화로 읽어준 패스프레이즈를 입력하면 됩니다. 설치할 것이 없다는 점이 여기서 중요합니다. 에스크로 담당자에게 소프트웨어 설치를 요구할 수는 없지만, 웹페이지 하나를 열어 달라고는 할 수 있으니까요. 수십 년 보관할 잔금 서류 아카이브라면 옵트인 age-encryption.org 형식도 살펴볼 만합니다 — age 파일은 공식 age CLI와 rage를 비롯한 모든 age 호환 도구로 열리므로, 아카이브의 미래가 이 웹사이트의 미래에 묶이지 않습니다. 주의사항 하나는 온전한 무게로 적용됩니다 — 복구는 없습니다. NearSeal을 포함해 그 누구도 패스프레이즈를 보관하지 않으므로, 잊어버린 패스프레이즈는 곧 읽을 수 없는 파일입니다. 무언가를 보내기 전에 비밀번호 관리자나 그 못지않게 견고한 곳에 적어 두세요. 그러면 인생에서 가장 큰 금융 거래의 서류들이 낯선 사람들 십수 명의 받은편지함에 놓인 읽을 수 있는 전리품이기를 멈추고, 전화 통화의 양쪽 끝을 제외한 모든 곳에서 암호문이 됩니다.