태그어소시에이츠는 왜 경고메일을 받고도 안 고쳤을까

가짜 송금요청 이메일을 직원들이 직접 발견해 서로 경고까지 했다. 그런데도 회사의 신원도용 방지 프로그램은 9년 넘게 그대로였다.

무슨 일이 있었나

미국 증권거래위원회(SEC)가 뉴욕 소재 투자자문사 TAG 어소시에이츠(TAG Associates LLC, 2002년 등록, 2026년 6월 기준 고객 90명·운용자산 70억 달러 이상)에 제재를 부과했다. 2015년 12월부터 고객 116명·계좌(자산 1억2900만 달러 이상)에 대해 연 1회 필수인 불시 외부감사를 누락했다. 직원이 서명권한·위임장·신탁관리인 지위로 고객자금에 접근 가능했는데도 독립회계사 명단에서 해당 계좌들을 빠뜨린 것이다. 비상장증권을 보유한 유한회사 고객 4곳도 감사·재무제표 배포 요건을 충족하지 못해 추가로 적발됐다. 여기에 2014년 6월부터 2023년 12월까지 자체 "레드플래그 프로그램"을 한 번도 내부 재검토하지 않았고, 이사회·고위 경영진 차원의 감독도 없었다. SEC는 2026년 10월 23일 가처분명령·견책·민사벌금 17만5000달러로 합의했다.

제재 정보 한눈에 보기

항목	내용
회사	TAG Associates LLC(운용자산 70억 달러+)
보관규정 위반	116계좌, 1억2900만 달러+, 불시감사 누락
신원도용 위반	2014-06~2023-12, 프로그램 미점검
제재	견책+민사벌금 17만5000달러
발표일	2026-10-23

"알고 있었다"는 사실이 더 무겁게 작용한 이유

이번 사건에서 가장 눈여겨볼 지점은 회사가 위험을 몰랐던 게 아니라는 점이다. 2017년 11월, 한 직원이 "클라이언트의 정확한 이메일 주소가 @ 앞까지는 진짜였지만 그 뒤는 가짜였다"며 가짜 송금요청을 전 직원에게 공유했다. 2021년 4월에는 CEO가 직접 "오늘 또 사기 시도가 있었다. 해커가 고객 이메일을 해킹해 은행에 송금을 요청했다"고 전사 공지했다. 2014년부터 2023년까지 TAG 직원들은 신원도용 시도·업계 전반의 피싱 사기·타사에서 발생한 신원도용 사례를 수시로 이메일로 주고받았고, 그 기간 수십 건의 미수에 그친 신원도용 시도의 표적이 되기도 했다. 위험을 몰라서가 아니라, 알면서도 공식 프로그램에 반영하는 절차 자체가 없었다는 게 핵심이다.

외부 컨설턴트가 직접 지적했는데도 방치된 구조

2015년부터 2023년 12월까지 TAG는 해마다 준법감시 컨설턴트를 고용해 정책·절차를 검토받았다. 심지어 2017년 보고서에서는 "레드플래그 프로그램을 자체적으로 검토해 사업 모델에 맞게 유지해야 한다"는 구체적인 권고까지 받았다. 하지만 컨설턴트들의 검토 범위 자체가 이 프로그램이나 신원도용방지규정(Regulation S-ID)을 포함하지 않았고, 권고를 받고도 내부 검토는 이뤄지지 않았다. 프로그램 자체에는 연례 보고 절차가 명시돼 있었지만, 담당 직원이 CEO에게 프로그램 효과성이나 주요 사고를 보고한 적도 2014년부터 2023년까지 단 한 번도 없었다.

"불시 외부감사"가 왜 보호장치인가

직원이 고객 계좌에 서명권한이나 위임장, 신탁관리인 지위로 접근할 수 있는 구조에서는, 내부 직원에 의한 자금 유용 위험이 상대적으로 커진다. 이런 위험을 통제하기 위한 핵심 장치가 바로 사전 통보 없이 이뤄지는 연 1회 불시 외부감사다. TAG는 2015년 SEC 검사에서 한 차례 유사한 문제가 지적돼 바로잡았던 적이 있는데도, 이후 또 다른 112개 계좌에서 같은 유형의 누락이 2024년 7월까지 반복됐다. 한 번 지적받은 문제의 패턴이 다른 계좌군에서 그대로 재현됐다는 점에서, 개별 계좌 식별 과정 자체에 구조적 허점이 있었다는 걸 보여준다.

2026년 고액자산 관리, 자문사의 규정 준수 이력도 확인할 것

2026년에도 대형 투자자문사의 내부통제 부실이 SEC 제재로 이어지는 사례가 꾸준히 보고되고 있다. 자산관리를 자문사에 맡기는 고액자산가라면, 자문사가 고객 자금에 직접 접근할 수 있는 구조(서명권한·위임장·신탁관리인 지위)인지, 그리고 연 1회 불시 외부감사가 제대로 이뤄지고 있는지를 직접 문의해볼 만하다. SEC의 과거 제재 이력은 공개 데이터베이스에서 조회할 수 있어, 자문사 선택 시 참고 자료로 활용할 수 있다.

지금 확인·대응할 것

• 자문사 직원이 본인 계좌에 서명권한·위임장·신탁관리인 지위로 접근 가능한지 확인한다.
• 자문사에 연 1회 불시 외부감사가 정상적으로 이뤄지고 있는지 문의한다.
• 자문사의 신원도용 방지 정책이 최근에 갱신됐는지 확인한다.
• 의심스러운 송금 요청 이메일은 전화로 직접 확인하되, 이메일에 적힌 번호가 아닌 공식 번호로 연락한다.

이 글이 다루지 않는 것

• 실제 성공한 신원도용 피해 사례 — 원문은 "수십 건의 미수에 그친 시도"로만 명시했으며, 성공한 도용 사례는 없다.
• 형사기소 여부 — 이 사건은 SEC의 행정·민사 제재다.
• 4곳 LLC 고객의 구체적 피해 규모 — 원문은 요건 미충족 사실까지만 명시했다.

자주 묻는 질문

Q. 고객이 피해를 입었나요?
원문은 수십 건의 신원도용 시도가 있었지만 모두 미수에 그쳤다고 명시했다. 성공한 도용 사례는 언급되지 않았다.

Q. 불시 외부감사가 뭔가요?
원문은 독립회계사가 사전 통보 없이 연 1회 고객 자금·증권을 직접 확인하는 절차라고 명시했다.

Q. 왜 9년 동안 프로그램을 점검하지 않았나요?
원문은 해마다 고용한 준법감시 컨설턴트의 검토 범위에 이 프로그램이 포함되지 않았고, 내부 보고 절차도 작동하지 않았다고 명시했다.

Q. 벌금은 얼마인가요?
원문은 민사벌금 17만5000달러와 견책 조치가 부과됐다고 명시했다.

Q. TAG는 지금도 같은 상태인가요?
아니다. 원문은 2024년 7월 문제 계좌들을 독립회계사 명단에 포함시켰고, 2023년 12월 신원도용 방지 프로그램을 처음으로 갱신했다고 명시했다.

회사가 위험을 몰랐던 게 아니라 알면서도 공식 절차에 반영하지 않았다는 점, 그리고 외부 컨설턴트의 구체적 권고조차 9년 넘게 무시됐다는 점이 이번 제재의 핵심이다. 비슷한 소비자 안전 경보 소재도 함께 확인해볼 만하다: 「크로포드벤처스펀드는 왜 재심 요청을 기각당했을까」, 「아메리칸엔터테인먼트그룹, 29년째 무응답이다」

출처: 미국 증권거래위원회(SEC), "Order Instituting Administrative and Cease-and-Desist Proceedings, In the Matter of TAG Associates LLC" sec.gov · SEC 행정절차 공고 전체 목록 sec.gov/litigation/admin-proceedings