우리 회사 메일 주소가 도용되고 있는지 확인하는 방법

Gmail이 보내 주는 무료 보고서로 시작하세요

우리 회사 메일 주소를 누군가 도용하고 있는지 궁금하다면, Gmail이 보내 주는 보고서가 출발점이 될 수 있습니다. Gmail은 회사 도메인을 발신 주소로 쓴 메일을 받으면, 그 내역을 DMARC 집계 보고서로 만들어 무료로 보내 줍니다. DNS에 보고서를 받을 주소를 등록하면 됩니다.

회사에서 Gmail이나 Google Workspace를 쓸 필요는 없습니다. 누군가 회사 주소를 위조해 일반 개인 Gmail 사용자에게 메일을 보냈다면, Gmail이 그 메일을 관측해 보고서에 담을 수 있습니다. 회사가 쓰는 메일 서비스 밖에서 보낸 메일도 이렇게 드러납니다.

보고서는 주소의 @ 뒤 회사 도메인을 기준으로 묶은 통계입니다. 어느 서버가 몇 통을 보냈고 인증을 통과했는지 보여 주며, 정상 메일과 인증에 실패한 메일이 함께 담깁니다. Google의 보고서 안내 ↗

Outlook.com과 Yahoo Mail도 보고서를 보냅니다

Gmail, Outlook.com, Yahoo Mail 등 주요 메일 서비스가 이런 보고서를 보냅니다. 각 서비스가 받은 메일 중 보낸 사람(From) 주소에 회사 도메인이 적힌 메일을 집계합니다. Outlook.com 안내 Q11 ↗ Yahoo Mail 안내 ↗

보고서는 보통 하루치 결과를 묶어 옵니다. 모든 수신처·모든 메일이 집계되는 것은 아니며, 실시간 알림이나 받은 편지함 도착 확인도 아닙니다. 그래도 회사 밖에서 우리 도메인이 어떻게 쓰이는지 살펴볼 단서가 됩니다.

첫 보고서에서 뜻밖의 발송처가 보일 수 있습니다

Genharden 고객 중에는 보고서를 받아 보고, 러시아나 독일 등에 있는 서버에서 회사 주소를 사칭한 메일이 발송되고 있었다는 사실을 발견하고 놀란 분들이 있습니다. 회사 메일 서비스 안에서는 알기 어려웠던 일입니다.

다만 국가는 발송 서버 위치의 단서입니다. 공격자의 국적을 뜻하지 않으며, 해외 서버라는 이유만으로 사칭이라고 볼 수도 없습니다.

낯선 발송처가 보이면 사내 담당자와 회사가 실제로 쓰는 서비스를 먼저 대조하세요. 정상 뉴스레터도 설정 오류로 인증에 실패할 수 있습니다. 인증 실패만으로 사칭이라고 판단하면 안 됩니다.

DNS의 rua에 보고서 받을 주소를 넣으세요

회사 도메인의 DNS에서 _dmarc 이름의 TXT 레코드를 찾으세요. DMARC 설정 중 rua가 집계 보고서를 받을 이메일 주소를 적는 항목입니다. 레코드가 없다면 다음처럼 관찰부터 시작할 수 있습니다.

_dmarc.gaon.example TXT "v=DMARC1; p=none; rua=mailto:dmarc@gaon.example"

gaon.example과 dmarc@gaon.example은 설명용입니다. 실제 회사 도메인과 보고서를 받을 수 있는 주소로 바꾸세요. Genharden을 쓰면 서비스에서 발급한 전용 RUA 주소를 넣습니다.

위의 p=none은 인증 실패 메일에 대한 격리·거부를 요청하지 않는 관찰용 정책입니다. 이미 p=quarantine이나 p=reject를 쓰고 있다면 낮추지 마세요. 기존 레코드의 rua를 수정하고, DMARC 레코드를 중복으로 만들지 않습니다.

DNS 입력 방법과 다른 도메인의 보고서 주소를 쓸 때 필요한 수신 동의는 DMARC 설정 가이드에서 확인할 수 있습니다.

XML 보고서는 직접 모아 읽기 어렵습니다

설정 후 도착하는 보고서는 사람이 읽기 편한 표가 아니라 XML 파일입니다. 아래처럼 서버 IP, 메일 수, 인증 결과가 태그 사이에 들어 있습니다. 개별 직원의 발송 기록이나 메일 제목·본문은 담기지 않습니다.

<row>
  <source_ip>203.0.113.7</source_ip>
  <count>12</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>fail</dkim>
    <spf>fail</spf>
  </policy_evaluated>
</row>

이 예시는 한 서버의 메일 12통이 인증에 실패했다는 뜻입니다. 실제로는 Gmail, Outlook.com, Yahoo Mail에서 오는 파일을 계속 모으고, 같은 발송처의 결과를 비교해야 합니다. 파일을 하나씩 열어 관리하기가 쉽지 않은 이유입니다. Google의 XML 보고서 설명 ↗

회사에서 Yahoo Mail을 쓰지 않아도 Yahoo 보고서가 올 수 있습니다. 우리 도메인을 발신 주소로 쓴 메일을 Yahoo 사용자가 받았다면, Yahoo가 받은 쪽의 관측 결과를 보내는 것입니다. Yahoo의 DMARC 보고서 안내 ↗

Genharden에서 모아 보고, reject까지 준비하세요

Genharden은 여러 수신 서비스가 보내는 RUA 보고서를 모아 발송처별 메일 수와 인증 결과로 정리합니다. 파일을 직접 열지 않고도 회사가 쓰는 발송처와 더 확인해야 할 발송처를 살펴보고, 이후 변화를 모니터링할 수 있습니다.

예시의 업무 메일은 인증을 통과했고, 뉴스레터는 회사가 쓰는 서비스지만 설정을 고쳐야 합니다. 사용하지 않는 것으로 확인해 차단한 발송처의 인증 실패 312통만 사칭 메일로 집계했습니다. 아직 확인하지 않은 발송처의 12통은 따로 남겨 둡니다.

Genharden은 정상 발송처의 인증 설정을 점검하고 p=reject까지 정책을 강화하는 과정을 안내합니다. p=reject는 우리 도메인을 쓴 메일이 DMARC 인증에 실패하면 받지 말아 달라는 요청입니다. 최종 처리는 받는 서비스가 결정합니다. DMARC 정책의 의미 ↗

적용 전에는 정상 발송처와 직원 업무 메일의 자동 전달·메일링리스트 영향을 먼저 확인하세요. 표시 이름·유사 도메인 사칭이나 탈취된 계정의 메일까지 모두 막는 정책은 아닙니다. 자세한 전환 방법은 DMARC 정책 가이드에서 살펴볼 수 있습니다.

Genharden으로 사칭메일 모니터링부터 시작하세요.