스팸은 인터넷 시대에 우리가 마주하게 될 가장 가까운 '디지털 전염병'이라 해도 과언이 아닙니다. 누구든 언젠가는 스팸과 마주하게 되고, 그 성가신 존재를 견뎌야 하는 순간이 옵니다. 사람들은 수십 년 동안 스팸과 싸워왔지만, 여전히 강력한 위협으로 남아 있습니다. 그렇다면 스패머들은 대체 처음에 어떻게 당신을 찾아내는 걸까요?
스팸의 가장 대표적인 통로는 이메일입니다. 그래서 논리적으로 생각하면, 스패머가 내 이메일 주소만 손에 넣지 못하면 안전할 것 같습니다. 하지만 현실은 그리 단순하지 않습니다. 스패머들은 오랜 세월 동안 기법을 발전시키고 다듬어 왔으며, 실제로 이메일 주소를 입수할 수 있는 방법이 무척 다양합니다.
언제나 그렇듯 지식은 곧 힘입니다. 스패머들이 사용하는 기법을 알고 있다면 최소한 그들의 발목을 잡을 준비를 갖추는 셈입니다. 500명의 스패머가 내 이메일 주소를 아는 것보다 단 5명만 아는 편이 훨씬 낫습니다.
방법 1: 메일링 리스트
스패머들이 오랫동안 사용해 온 가장 오래된 이메일 수집 방식 중 하나가 바로 메일링 리스트입니다. 이유는 간단합니다. 메일링 리스트 자체가 유효한 이메일 주소의 모음집이나 다름없기 때문입니다. 하지만 구체적인 수법은 의외로 놀라울 수 있습니다.
메일링 리스트 서비스는 외부로 이메일 주소가 새어 나가지 않도록 일정한 보안 규약을 지킵니다. 주소 보호에 허술하다는 평가를 받으면 고객이 떠나기 때문입니다. 그럼에도 불구하고 스패머들은 종종 메일링 리스트에 구독자 전체 명단을 요청하기도 합니다. 서비스 측은 대개 이런 요청을 거절하지만, 가끔은 관통하는 경우도 있습니다.
더 교묘한 방법도 있습니다. 개별 이메일 주소 목록이 아니라 메일링 리스트 자체의 목록을 요청하는 것입니다. 그런 다음 해당 메일링 리스트 주소로 스팸 메일을 발송하면, 리스트에 숨겨져 있던 모든 주소로 스팸이 전달됩니다.
방법 2: 수신 거부 링크
메일링 리스트와 관련해 또 하나 흔히 쓰이는 수법이 있는데, 꽤 교활한 방식입니다. 뉴스레터나 메일링 리스트를 구독해 본 적이 있다면, 모든 메일 하단에 붙어 있는 '수신 거부(unsubscribe)' 링크를 알 것입니다.
대부분의 정상적인 기업이라면 이 링크는 말 그대로 제 역할을 합니다. 스스로 신청한 뉴스레터라면 나중에 구독을 해지해도 아무 문제가 없습니다.
그런데 가끔은 뉴스레터인 척하면서 수신 거부 옵션을 제공하는 스팸 메일이 도착하기도 합니다. 이 경우 그 링크는 사실상 미끼일 가능성이 높습니다.
스패머들은 무작위로 생성한 이메일 주소에 이런 메일을 대량으로 뿌립니다. 그리고 수신 거부 링크를 클릭하는 순간, 오히려 내 이메일 주소가 실제로 존재한다는 사실을 확인해 주는 꼴이 됩니다. 스패머 입장에서는 "이 주소는 앞으로 집중적으로 공격해야겠다"는 표적 정보를 스스로 넘겨주는 것이죠.
방법 3: 무작위 대입(브루트 포스)
다음 방법은 바로 무작위 대입 생성(brute force generation)입니다. 쉽게 말해 산탄총처럼 넓게 뿌려서 이메일 주소를 찾아내는 방식입니다.
모든 이메일 주소는 [이름]@[도메인].com(net/org 등)이라는 일정한 구조를 갖습니다. 도메인 부분은 인기 있는 이메일 서비스 몇 곳만 조사하면 금방 파악할 수 있으니 어렵지 않습니다.
결국 핵심은 [이름] 부분입니다. 스패머는 무작위 문자·숫자 조합을 대량으로 만들어 [무작위 이름]@[인기 도메인].com 형태로 메일을 발송합니다. 예를 들면 다음과 같습니다.
- johnsmith1@gmail.com
- johnsmith2@gmail.com
- johnsmith3@gmail.com
내 이메일 주소가 johnsmith700@gmail.com이라고 가정해 봅시다. 무작위 조합을 계속 시도하다 보면 언젠가 실제 주소와 일치하고, 결국 스팸이 도착하게 됩니다.
스팸 캠페인 한 번에 수백만 개의 무작위 이메일 주소를 생성할 수도 있습니다. 그중 1%만 실존하는 주소라 해도, 스팸을 뒤집어쓸 사람은 어마어마하게 많은 셈입니다.
방법 4: 웹 크롤러 봇
또 다른 흔한 전술은 웹페이지를 돌아다니며 공개된 이메일 주소를 찾아내는 봇, 이른바 크롤러(crawler)를 활용하는 것입니다. 겁부터 날 것 같지만 원리는 의외로 단순합니다.
웹페이지에 접속할 때마다 그 페이지의 내용은 인터넷을 통해 전송되고, 브라우저가 그 데이터를 화면에 보여주는 역할을 합니다. 그런데 스패머들은 브라우저 없이 웹 서버에 페이지 데이터를 요청하는 프로그램을 만들어 사용합니다.
데이터가 도착하면 프로그램은 페이지 전체 내용을 빠르게 훑으며 이메일 주소가 있는지 판별합니다. 주소가 발견되면 데이터베이스에 저장합니다. 이 프로그램들은 데이터를 요청만 할 뿐 화면에 표시하지 않기 때문에, 엄청난 수의 웹페이지를 순식간에 훑을 수 있습니다.
그렇다면 어떤 웹페이지가 표적이 될까요? 대표적인 것이 커뮤니티 게시판(포럼)입니다. 포럼 회원 프로필에는 이메일 주소가 그대로 노출된 경우가 많습니다. 이런 봇은 포럼의 전체 회원 명단을 샅샅이 훑으며 수많은 주소를 긁어갑니다.
소셜 네트워크 서비스도 인기 표적입니다. 페이스북 친구 프로필을 열어보면 이메일 주소가 보이는 경우가 종종 있습니다. 내 눈에 보인다면 봇에게도 보일 가능성이 높고, 봇이 본다면 그 주소는 스팸 데이터베이스에 저장됩니다.
방법 5: 이메일 데이터베이스 확보
마지막으로, 스패머에게는 돈만 있으면 되는 경우도 있습니다. 현금을 지불하면 유효한 이메일 주소가 가득 담긴 명단을 손에 넣을 수 있다는 것입니다. 그렇습니다. 일부 기업은 막대한 금액을 받고 자사가 보유한 이메일 주소 데이터베이스를 팔기도 합니다.
웹사이트에 회원가입하거나 뉴스레터를 구독할 때마다 이메일 주소는 서버 쪽 데이터베이스에 저장됩니다. 온라인 게임, 포럼 계정, SNS, 언론 매체, 블로그 등 어디든 마찬가지입니다. 온라인 양식에 이메일 주소를 입력하는 순간, 어딘가에는 항상 유출 위험이 존재합니다.
"그럼 개인정보 처리방침은요?"라고 물으실 수 있습니다. 하지만 모든 기업이 정직하고 성실한 것은 아닙니다. 주소를 충분히 모아 놓고는 자기들의 개인정보 처리방침을 깡그리 무시하는 기업도 있습니다. 다만 대부분의 유출 사건은 높은 접근 권한을 가진 부정 직원 한 명에 의해 벌어지곤 합니다.
드물지만, 스패머가 기업 데이터베이스에 직접 해킹을 시도해 회사도 모르게 이메일 주소를 훔쳐가는 경우도 있습니다.
실천할 수 있는 보호 수칙
- 공개 포럼이나 SNS 프로필에 이메일 주소를 직접 노출하지 않기
- 출처를 알 수 없는 메일의 '수신 거부' 링크는 클릭하지 않기
- 서비스 가입 시 개인정보 처리방침의 제3자 제공 조항 꼼꼼히 확인하기
- 필요하다면 용도별 별칭(alias) 이메일 주소를 따로 만들어 활용하기
이제 스패머가 이메일 주소를 입수하는 다양한 경로를 알았으니, 내 정보를 더 철저히 지키는 일은 스스로의 책임입니다. 신용카드 번호, 주민등록번호, 집 주소, 전화번호 같은 개인 정보와 마찬가지로, 이메일 주소도 함부로 인터넷에 노출하지 않도록 항상 주의해야 합니다.