나온 지 14년 된 이메일 사칭 방지 표준 DMARC, 왜 68%는 아직도 차단을 못 켤까요

어느 날 회사 대표 이름으로 '지금 급하게 처리할 송금 건이 있어요'라는 메일이 경리 담당자에게 도착해요. 발신 주소를 보니 진짜 회사 도메인이에요. 그런데 이거, 외부인이 보낸 사칭 메일일 수 있거든요. 이런 일이 가능한 이유는 이메일의 기반 프로토콜인 SMTP가 설계될 당시 '발신자 검증'이라는 개념 자체가 없었기 때문이에요. 종이 편지 봉투에 보내는 사람 이름을 아무렇게나 적을 수 있는 것과 똑같아요. 이 구멍을 막으려고 만든 표준이 SPF, DKIM, 그리고 DMARC인데요. DMARC가 공개된 게 2012년이니 벌써 14년이 흘렀어요. 그런데 최근 발표된 조사에 따르면, DMARC를 설정한 도메인 중 68.4%가 여전히 '차단 모드'를 켜지 않고 있대요. 사칭 메일을 탐지는 하는데, 정작 막지는 않고 있다는 뜻이에요.

SPF, DKIM, DMARC가 뭐냐면

세 가지가 헷갈리기 쉬운데, 역할이 각각 달라요. SPF는 '우리 도메인 이름으로 메일을 보낼 수 있는 서버는 이 IP들뿐이다'라는 목록을 DNS에 올려두는 거예요. 수신 서버가 메일을 받으면 보낸 서버의 IP가 그 목록에 있는지 확인하죠. DKIM은 발송 서버가 메일에 전자서명을 붙이는 거예요. 수신 서버는 DNS에 올라온 공개키로 서명을 검증해서, 메일이 진짜 그 도메인에서 왔고 중간에 내용이 바뀌지 않았는지 확인해요.

그럼 DMARC는 뭐냐면, 이 두 검사의 결과를 '어떻게 처리할지' 도메인 주인이 선언하는 정책이에요. 정책은 세 단계가 있어요. p=none은 '검사만 하고 그냥 배달해라', p=quarantine은 '검사에 실패한 메일은 스팸함으로 보내라', p=reject는 '아예 수신을 거부해라'예요. 여기에 더해 rua라는 옵션으로 '검사 결과 보고서를 이 주소로 보내달라'고 요청할 수 있고요. 문제의 68.4%는 바로 p=none에 머물러 있는 도메인들이에요. 정책이 none이면 사칭 메일도 받은편지함에 그대로 들어가거든요. 문 앞에 CCTV만 달아두고 정작 문은 안 잠근 상태인 거죠.

왜 다들 none에서 멈출까

이유는 의외로 공감이 가요. reject를 켰다가 정상 메일이 반송될까 봐 무서운 거예요. 회사 도메인 이름으로 메일을 보내는 주체가 생각보다 정말 많거든요. 뉴스레터 발송 대행사, CRM, 채용 관리 툴, 결제 알림 서비스, 설문 도구까지. 어떤 서드파티가 우리 도메인으로 메일을 보내는지 전부 파악하고 이들을 SPF와 DKIM에 맞게 '정렬'시켜야 하는데, 이 목록을 만드는 것부터가 큰일이에요. 하나라도 빠뜨린 채 reject를 켜면 고객에게 가야 할 결제 영수증 메일이 조용히 증발할 수 있으니까요.

이걸 도와주라고 있는 게 rua 집계 보고서인데, 여기에도 함정이 있어요. 보고서가 XML 뭉치로 오는 데다 수신 서버마다 제각각 보내와서, 사람이 눈으로 읽기가 사실상 불가능해요. 분석하려면 별도 도구나 유료 서비스가 필요한데 이 시장도 파편화돼 있어서, 그 자체가 진입장벽이 되는 거죠. 그러다 보니 2024년에 구글과 야후가 대량 발송자에게 DMARC를 의무화하면서 레코드 등록 자체는 크게 늘었지만, 상당수가 보안 체크리스트를 채우기 위한 '형식적인 p=none'에 그치고 있다는 게 이번 조사의 핵심 지적이에요.

오늘 바로 확인해보세요

도메인을 관리하고 있다면 터미널에서 dig txt _dmarc.여러분도메인 명령으로 현재 정책을 바로 확인할 수 있어요. 차단 모드까지 가는 현실적인 순서는 이래요. 먼저 p=none과 rua 보고를 켜고 한두 달 모니터링하면서 우리 도메인으로 메일을 보내는 주체를 전부 파악해요. 다음으로 그 발송처들을 SPF와 DKIM에 정렬시키고, pct 옵션을 써서 quarantine을 10% 정도부터 점진적으로 적용해요. 문제가 없으면 비율을 올려서 최종적으로 reject까지 가는 거죠. 특히 국내는 택배, 금융, 공공기관 사칭 피싱이 일상이 된 상황이라, 자기 도메인이 사칭에 악용되지 않게 막는 건 고객 보호이자 브랜드 보호이기도 해요.

마무리

정리하면, DMARC는 도입이 아니라 '강제'까지 가야 비로소 의미가 있는 표준인데, 대부분이 그 마지막 한 걸음을 못 딛고 있다는 이야기예요. 여러분 회사 도메인은 지금 어떤 정책으로 설정돼 있나요? reject까지 가보신 분이 있다면, 어떤 발송처 때문에 가장 애를 먹었는지 경험을 나눠주시면 좋겠어요.