이메일 알림이 울리면 가장 먼저 확인하는 것은 발신인이 아닐까요? 발신자만 보고도 누구에게서 온 메일인지, 그리고 어떤 내용일지 짐작할 수 있기 때문입니다.
그런데 우리가 평소에 쓰는 메일 클라이언트에는 보이지 않는 정보가 이메일 하나하나에 훨씬 더 많이 담겨 있다는 사실을 알고 계셨나요? 이메일 헤더에는 발신자에 관한 다양한 정보가 숨어 있는데, 바로 이 정보를 활용하면 해당 메일을 근원지까지 거슬러 올라갈 수 있습니다.
이번 글에서는 이메일을 출발지까지 추적하는 방법과, 그렇게 해야 하는 이유까지 자세히 살펴보겠습니다.
왜 이메일 주소를 추적해야 할까?
추적 방법을 배우기에 앞서, 애초에 왜 이메일 주소를 추적해야 하는지부터 생각해 볼 필요가 있습니다.
오늘날 악성 이메일은 그 어느 때보다 흔합니다. 사기 메일, 스팸, 멀웨어, 피싱 메일은 누구의 받은 편지함에서도 쉽게 발견되는 단골손님입니다. 이메일을 출처까지 역추적하면 그 메일이 누구에게서, 어디에서 왔는지 실마리를 찾을 가능성이 조금이라도 생깁니다.
또한 끈질기게 스팸이나 악성 콘텐츠를 보내오는 특정 발신원을 찾아내 차단함으로써, 받은 편지함에서 영구히 제거할 수도 있습니다. 서버 관리자들이 같은 이유로 이메일을 추적하기도 합니다.
(반대로 내 이메일 신원이 드러나는 것이 싫다면, 완전히 익명으로 이메일을 보내는 방법을 익혀두는 것도 좋습니다.)
이메일 주소 추적 방법
이메일 주소에서 발신자까지 추적하려면 전체 이메일 헤더(full email header)를 확인해야 합니다. 이메일 헤더에는 라우팅 정보와 메타데이터가 담겨 있습니다. 평소에는 신경 쓰지 않는 정보지만, 이메일의 출처를 추적하는 데 결정적인 열쇠입니다.
대부분의 메일 클라이언트는 기술적인 데이터가 가득하고 일반 사용자에게는 크게 의미가 없기 때문에, 전체 헤더를 기본적으로 표시하지 않습니다. 하지만 대부분의 클라이언트에서 전체 헤더를 확인하는 방법을 제공합니다. 어디를 봐야 하는지, 그리고 무엇을 보고 있는지 파악하기만 하면 됩니다.
- Gmail(지메일) 전체 헤더 보기: 지메일 계정에 로그인한 뒤 추적하려는 이메일을 엽니다. 오른쪽 위의 점 세 개 드롭다운 메뉴를 클릭하고 원본 보기(Show original)를 선택하세요.
- Outlook 전체 헤더 보기: 추적하려는 이메일을 두 번 클릭한 후 파일 > 속성(File > Properties)으로 이동하면, 인터넷 헤더(Internet headers) 항목에 정보가 표시됩니다.
- Apple Mail 전체 헤더 보기: 추적하려는 이메일을 연 뒤 보기 > 메시지 > 원본 소스(View > Message > Raw Source)로 이동하세요.
물론 이메일 클라이언트는 셀 수 없이 많습니다. 간단한 인터넷 검색만으로도 자신이 쓰는 클라이언트에서 전체 헤더를 확인하는 방법을 금방 찾을 수 있습니다. 전체 헤더를 직접 열어보면 "기술 데이터가 가득하다"는 말이 무슨 뜻인지 몸으로 느끼게 될 겁니다.
전체 이메일 헤더의 데이터 읽는 법
헤더를 열면 방대한 양의 정보가 한눈에 들어옵니다. 하지만 걱정할 필요 없습니다. 이메일 헤더는 시간 순서대로, 즉 맨 아래(가장 오래된 정보)부터 위로 읽으면 됩니다. 또한 이메일이 거쳐 가는 새로운 서버마다 Received 항목이 하나씩 추가됩니다.
실제 지메일 계정에서 가져온 샘플 헤더를 함께 살펴보겠습니다.
지메일 이메일 헤더 항목 해설
정보가 상당히 많죠? 하나씩 뜯어봅시다. 우선 각 항목이 의미하는 바를 아래에서 위로 읽으며 이해해 보겠습니다.
- Reply-To(회신 주소): 답장을 보낼 이메일 주소입니다.
- From(발신자): 메시지 발신인을 표시하지만, 조작(위조)이 매우 쉬운 항목입니다.
- Content-type(콘텐츠 유형): 브라우저나 메일 클라이언트가 이메일 내용을 어떻게 해석해야 하는지 알려줍니다. 가장 흔한 문자셋은 UTF-8(예시에 표시됨)과 ISO-8859-1입니다.
- MIME-Version(MIME 버전): 이메일이 사용하는 형식 표준을 선언합니다. 일반적으로 "1.0"입니다.
- Subject(제목): 이메일 내용의 제목입니다.
- To(수신자): 이메일의 의도된 수신자이며, 다른 주소가 함께 표시되기도 합니다.
- DKIM-Signature(DKIM 서명): DomainKeys Identified Mail의 약자로, 이메일이 발송된 도메인을 인증하여 이메일 스푸핑과 발신자 사기를 막아주는 역할을 합니다.
- Received(수신 경로): 이메일이 받은 편지함에 도착하기까지 거쳐간 모든 서버를 나열합니다. Received 줄은 아래에서 위로 읽으며, 가장 아래 줄이 최초 발신지입니다.
- Authentication-Results(인증 결과): 수행된 인증 검사 기록을 담고 있으며, 여러 인증 방식의 결과가 포함될 수 있습니다.
- Received-SPF(SPF 결과): Sender Policy Framework(SPF)는 발신자 주소 위조를 차단하는 이메일 인증 절차의 일부입니다.
- Return-Path(반송 경로): 전송 실패 메일이나 반송 메일이 최종적으로 도착하는 위치입니다.
- ARC-Authentication-Results(ARC 인증 결과): Authenticated Receive Chain은 또 다른 인증 표준으로, 메시지를 최종 목적지까지 전달하는 중개자와 서버들의 신원을 검증합니다.
- ARC-Message-Signature(ARC 메시지 서명): DKIM과 유사하게, 검증을 위해 메시지 헤더 정보의 스냅샷을 생성합니다.
- ARC-Seal(ARC 실링): ARC 인증 결과와 메시지 서명을 "봉인"하여 내용의 무결성을 확인합니다. 역시 DKIM과 비슷한 개념입니다.
- X-Received(X-수신): "Received"와 달리 비표준으로 간주되는 항목입니다. 즉, 메일 전송 에이전트(MTA)나 지메일 SMTP 서버처럼 고정적이지 않은 주소일 수 있습니다. (아래 참조)
- X-Google-Smtp-Source(구글 SMTP 출처): 이메일이 지메일 SMTP 서버를 통해 전달되었음을 표시합니다.
- Delivered-To(최종 수신자): 이 헤더에서 이메일의 최종 수신자를 나타냅니다.
모든 항목의 의미를 완벽히 이해하지 못해도 이메일을 추적하는 데는 문제가 없습니다. 다만 헤더를 읽는 법만 익혀두면 이메일 발신자 추적이 한결 빨라집니다.
이메일 원본 발신자 추적하기
최초 발신자의 IP 주소를 추적하려면 전체 헤더에서 첫 번째 Received 항목으로 이동하세요. 첫 번째 Received 줄 옆에 이메일을 보낸 서버의 IP 주소가 적혀 있습니다. 경우에 따라 X-Originating-IP 또는 Original-IP로 표시되기도 합니다.
IP 주소를 찾았다면 MX Toolbox 사이트로 이동해 입력란에 해당 IP를 넣고, 드롭다운 메뉴에서 검색 유형을 Reverse Lookup(역방향 조회)으로 변경한 뒤 Enter 키를 누르세요. 검색 결과에서 발신 서버와 관련된 다양한 정보를 확인할 수 있습니다.
다만 발신 IP가 수백만 개에 달하는 사설(private) IP 주소 중 하나라면 이야기가 달라집니다. 이 경우 아래와 같은 메시지를 만나게 됩니다.
사설 IP 주소 대역은 다음과 같습니다.
- 10.0.0.0 ~ 10.255.255.255
- 172.16.0.0 ~ 172.31.255.255
- 192.168.0.0 ~ 192.168.255.255
- 224.0.0.0 ~ 239.255.255.255 (멀티캐스트 대역)
위 대역의 IP 주소는 조회해도 아무런 결과가 반환되지 않습니다.
이메일·IP 주소 추적에 유용한 무료 도구 3가지
물론 이 과정을 자동화해 주는 편리한 도구들도 있습니다. 전체 이메일 헤더와 그 내용을 이해해 두는 것이 좋긴 하지만, 때로는 빠르게 결과만 확인하고 싶을 때가 있으니까요.
아래 헤더 분석 도구들을 활용해 보세요.
- GSuite Toolbox Messageheader
- MX Toolbox Email Header Analyzer
- IP-Address Email Header Trace (헤더 분석 + IP 주소 추적 겸용)
다만 도구마다 결과가 완전히 일치하지 않을 수 있습니다. 실제 예시에서 필자는 발신자가 표시된 위치(위치타 인근 저수지 한가운데)와는 전혀 다른 곳에 있다는 것을 알고 있었습니다.
즉, 이메일 추적 성공 여부는 발신자가 사용하는 이메일 제공업체에 따라 달라집니다. 예컨대 지메일 계정에서 보낸 이메일을 추적하면, 원발신자의 IP 주소가 아니라 해당 메일을 마지막으로 처리한 구글 서버의 위치만 확인할 수 있습니다.
정말 이메일로 IP 주소를 추적할 수 있을까?
헤더를 통해 IP 주소를 추적하는 것이 실제로 유용한 경우도 있습니다. 성가신 스팸 발송자라든지, 반복적으로 피싱 메일을 보내오는 출처 같은 경우죠.
또한 특정 이메일은 반드시 특정 지역에서만 발송됩니다. 예를 들어 PayPal 공식 메일이 중국에서 발송되었다면 의심해 봐야 합니다. 다만 이렇게 이메일 출처를 추적하는 일은 정밀한 과학이라고 부르기 어렵습니다. 최소한 손쉽게 구할 수 있는 도구만으로는 그렇습니다.