회사에서 보낸 것처럼 보이는 이메일을 받았는데 어딘가 수상하다고 느껴본 적이 있으신가요? 사기꾼들은 다양한 기법으로 이메일 주소를 위조해 일반 사용자들을 노립니다.
이번 글에서는 진짜 이메일과 가짜 이메일을 구별할 수 있는 몇 가지 실질적인 방법을 소개합니다.
1. '발신(From)' 주소 확인하기
가짜 이메일은 원래 이메일 주소와 비슷하게 생긴 발신 주소를 사용하는 경우가 많습니다.
애플(Apple)의 예를 들어보겠습니다. 애플에서 보내온 정상적인 이메일이라면 noreply@apple.com과 같은 주소가 표시됩니다. 하지만 사기꾼들은 noreply@appleinc.com처럼 아주 비슷해 보이는 주소를 사용해 수신자를 속이려 합니다.
또 다른 수법으로는 유명 기업의 이름을 살짝 변형하는 방식이 있습니다. 마이크로소프트(Microsoft)를 예로 들면, 'r'과 'n'을 나란히 배치해 'm'처럼 보이게 만드는 식으로 철자를 교묘히 바꿉니다.
심지어 사기꾼들이 스푸핑 소프트웨어를 이용해 실제 존재하는 정상 이메일 주소를 표시하는 경우도 있습니다. 이런 경우에는 진위 여부를 판단하기가 훨씬 어렵습니다. 그래서 이메일 본문에 오타가 있는지, 링크 주소가 수상하지 않은지까지 꼼꼼히 살펴보는 것이 중요합니다.
2. '답장(Reply To)' 주소 확인하기
누군가에게 이메일을 받으면 특별한 안내가 없는 한 같은 주소로 답장을 보내게 됩니다. 그런데 사기꾼들은 타인의 이메일 주소를 도용해 메일을 보내기 때문에, 해당 주소의 실제 계정에는 접근할 수 없습니다.
따라서 답장을 요구하는 사기 이메일이라면 '답장(Reply To)' 필드에 실제 발신 주소와 다른 이메일 주소가 적혀 있는 경우가 많습니다.
사기꾼들은 유명 브랜드, 기업, 정부 기관 등의 이름을 빌려 이메일을 발송하고, 수신자가 이를 읽고 답장하도록 유도하는 방식으로 이 기법을 활용합니다.
3. 이메일 헤더 확인하기
대표적인 이메일 보안 기술로는 SPF, DKIM, DMARC 세 가지가 있습니다. 이 기술들은 수신자가 해당 이메일이 실제 발신자로부터 온 것인지, 아니면 사기꾼이 보낸 위조 메일인지 판별하는 데 큰 도움이 됩니다.
대부분의 주요 웹사이트와 기업은 이 세 가지 보안 조치를 올바르게 적용하고 있어, 메일 클라이언트가 가짜 이메일을 자동으로 감지하고 차단할 수 있습니다. 다만 일부 기업은 이런 기술을 사용하지 않거나 제대로 강제하지 않는 경우도 있다는 점을 기억해 두는 것이 좋습니다.
이메일의 보안 상태를 확인하려면 수상한 이메일 화면 우측 상단의 점 세 개(⋮) 메뉴를 클릭한 후 '원본 표시(Show Original)'(또는 이에 상응하는 메뉴)를 선택하세요. 여기에서 각 보안 검사 항목과 이메일이 통과했는지 여부를 확인할 수 있습니다.
물론 이 결과만으로 이메일의 진위를 100% 단정할 수는 없지만, 판단에 중요한 단서가 됩니다. 만약 '실패(Fail)' 또는 '소프트 실패(Soft Fail)' 결과가 표시된다면 해당 이메일은 의심해 보는 것이 안전합니다.
왜 이메일을 직접 확인해야 할까?
이렇게나 많은 검증 절차와 방화벽, 보안 계층이 존재하는데도 스팸과 가짜 이메일이 자동으로 걸러지지 않는 이유가 궁금할 수 있습니다. 그 답은 의외로 충격적입니다. 최근 SPF 관련 조사에서 분석된 1억 4천만 개 도메인 중 무려 80%가 보안의 최소 기준인 SPF 레코드조차 설정하지 않고 있는 것으로 나타났기 때문입니다.
SPF 레코드가 없으면 이메일 계정이 스팸 메일을 정확하게 필터링할 수 없습니다. 그렇기 때문에 중요한 메일이 스팸함에 들어가고, 가끔은 스팸 메일이 받은편지함에 도착하는 역설적인 상황이 벌어지는 것이죠.
결국 단 하나의 검사나 징후만으로 이메일의 진위를 확신하기는 어렵습니다. 경우에 따라서는 여러 가지 검사를 종합적으로 거쳐야만 이메일이 진짜인지 가려낼 수 있습니다.
수상한 이메일은 반드시 확인하세요
수상한 이메일을 받았다고 느껴진다면 위에서 소개한 사항들을 반드시 점검해야 합니다. 시간이 지날수록 해킹, 스미싱, 온라인 금융 사기는 더욱 만연해지고 있습니다. 사기꾼들은 다양한 기법을 동원해 IT에 익숙하지 않은 일반 대중을 노리고 있습니다.
앞으로 디지털 전환이 가속화되면서 스푸핑 이메일의 수는 더욱 증가할 전망입니다. 평소 경각심을 유지하고, 조금이라도 의심스러운 메일이 온다면 반드시 확인하는 습관을 들이시기 바랍니다.