NuModeX MailOrigin 이 도구가 탐지할 수 없는 것
언어 한국어

이 도구가 탐지할 수 없는 것

여기서 깨끗한 결과가 나왔다고 해서 메일이 안전하다는 보장은 아닙니다. 이 페이지는 이 도구가 볼 수 없는 범위를 정확히 밝혀, 결과를 있는 그대로 판단할 수 있게 합니다.

여기서 깨끗한 결과가 나왔다고 해서 메일이 안전하다는 보장은 아닙니다. 이 페이지는 이 도구가 볼 수 없는 범위를 정확히 밝혀, 결과를 있는 그대로 판단할 수 있게 합니다.

이 도구는 메일 한 통을 브라우저 안에서, 네트워크 접근 없이 읽습니다. 아래의 모든 내용은 여기서 비롯됩니다. 이 한계들 대부분은 앞으로 채워질 빈틈이 아니라 설계에서 나온 결과이며, 바로 그 설계 덕분에 이 도구는 메일이 기기 밖으로 나가지 않는다고 약속할 수 있습니다.

이 페이지는 한 번 읽어 두십시오. 결과 화면은 해당 메일에서 무엇을 확인했고 무엇을 확인하지 못했는지 알려 주며, 이 페이지는 어떤 메일에서도 절대 확인하지 않는 것을 알려 줍니다.

가장 중요한 한계: 실제 계정이 탈취된 경우

실제로 탈취된 정당한 계정에서 보낸 피싱 메일은 이 도구가 하는 모든 검사를 통과합니다.

공격자가 실제 직원의 실제 메일함 비밀번호를 가지고 있다면, 그가 보내는 메일은 기술적으로 그 회사가 보낸 진짜 메일입니다. 회사 자체의 메일 서버가 서명합니다. 인증 레코드도 회사의 것이며, 회사가 게시했고 메일이 실제로 그곳에서 왔으므로 통과합니다. 전달 경로는 평소의 경로입니다. 발신자 주소는 유사 주소가 아니라 그 사람의 실제 주소입니다. 위조할 필요가 없었으므로 위조된 것이 아무것도 없습니다.

이는 드문 경우가 아닙니다. 기술적인 부분이 모두 올바르기 때문에 오히려 가장 효과적인 공격 형태입니다. 정체를 드러내는 것은 메일이 요구하는 내용입니다. 예상치 못한 지급, 평소와 다른 자격 증명 요청, 평소에는 서두르지 않던 사람의 재촉 같은 것이며, 이 중 어느 것도 기술적 신호가 아닙니다. 이것은 대화에 대한 판단이며, 이 도구보다 사용자가 훨씬 더 잘 판단할 수 있습니다.

메일이 돈, 자격 증명, 접근 권한과 관련해 평소와 다른 일을 요구한다면, 이 도구의 결과와 관계없이 이미 신뢰하는 경로로 확인하십시오. 메일에 적힌 번호가 아니라 원래 알고 있는 전화번호로 확인해야 합니다.

링크가 실제로 이어지는 곳

링크는 텍스트로 분석합니다. 링크를 가져오는 일은 절대 없습니다. 그래서 이 도구는 링크에 보이는 텍스트가 한 사이트를 가리키는데 링크 자체는 다른 사이트를 가리킨다거나, 목적지가 숫자로만 된 주소라거나, 리디렉션 매개변수가 다른 곳으로 넘겨준다는 것을 알려 줄 수 있습니다. 모두 주소 자체에서 읽어 낸 것입니다. 링크 너머에 무엇이 있는지는 알려 줄 수 없습니다.

이는 안전의 문제이기도 하고 정직의 문제이기도 합니다. 설령 링크를 가져온다 해도 결과를 믿을 수 없습니다. 피싱 페이지는 자동화된 방문으로 보이는 요청에는 무해한 내용을 보여 주고, 피해자처럼 도착한 브라우저에만 진짜 페이지를 보여 주는 경우가 많습니다. 링크를 가져와서 내린 판정은 정작 중요한 순간에 확신을 가지고 틀리게 됩니다.

방문자에 따라 내용이 바뀌는 랜딩 페이지

같은 방어를 좀 더 자세히 말하면, 많은 피싱 페이지는 방문자가 어디에서 왔는지, 어떤 브라우저라고 밝히는지, 어떤 네트워크에 있는지, 전에 방문한 적이 있는지에 따라 보여 줄 내용을 정합니다. 같은 링크를 연 두 사람이 서로 다른 페이지를 볼 수 있습니다. 링크를 바깥에서 살펴보는 방법으로는 이 문제를 해결할 수 없으며, 이 도구는 시도하지 않습니다.

복원할 수 없는 재작성 링크

보안 제품은 클릭이 먼저 자신을 거치도록 링크를 재작성합니다. 이렇게 감싼 링크 중 일부는 원래 주소를 새 주소 안에 인코딩해 두며, 이 도구는 이를 해독해 실제 목적지를 보여 줍니다. 다른 일부는 원래 주소를 자체 서버에 보관하고 참조만 남기므로 링크 안에는 해독할 것이 없습니다. 이 경우 이 도구는 그렇다고 밝히고 멈춥니다. 추측하지 않습니다. 피싱 검사 안에서 잘못된 목적지는 목적지가 없는 것보다 나쁘기 때문입니다.

첨부 파일

첨부 파일은 절대 열거나 읽거나 디코딩하거나 실행하지 않으며, 첨부 파일에 관한 어떤 정보도 보여 주지 않습니다. 파일 이름도, 표시된 형식도, 크기도 보여 주지 않습니다. 악성 문서, 매크로, 페이로드가 든 압축 파일, 무해해 보이도록 이름을 지은 파일, 그 무엇도 검사하지 않으며 보고하지도 않습니다.

뒤의 절반이 생각보다 중요합니다. 첨부 파일에 대해 아무 말도 없는 결과가 메일에 첨부 파일이 없었다는 뜻은 아닙니다. 무엇이 첨부되었는지 알아야 한다면 메일 프로그램에서 확인하십시오. 이 도구는 알려 주지 않으며, 조용한 결과는 어느 쪽의 증거도 아닙니다.

이는 영구적이며 의도된 것입니다. 공격자가 보낸 파일을 여는 것은 바로 이 도구가 피하도록 도우려는 행동이며, 브라우저 탭 안에서 연다고 해서 안전해지지 않습니다. 조사 중인 메일의 첨부 파일은 열지 않았고 검사하지도 않은 것으로 취급하십시오. 실제로 그렇기 때문입니다.

전달된 사본은 원본이 아닙니다

의심스러운 메일을 자신이나 동료에게 전달한 뒤 그 사본을 분석하면, 분석하는 것은 전달된 메일입니다. 그것은 전달 이력이 다른 별개의 메일이며, 그 차이는 겉모습만의 문제가 아닙니다.

전달하면 사용자 쪽 메일 시스템의 홉이 전달 경로 앞에 덧붙으므로, 여기에 표시되는 경로는 메일이 발신자에게서 전달자에게 어떻게 도착했는지가 아니라 전달자에게서 사용자에게 어떻게 도착했는지를 보여 줍니다. 또 전달은 SPF 검사의 기준인 봉투 발신자를 바꾸므로, 전달된 사본의 SPF 결과는 원래 메일을 보낸 사람이 아니라 전달한 서버에 대한 것입니다. DKIM 서명은 경로가 아니라 메일에 서명하므로 전달 후에도 남을 수 있지만, 도중에 서명된 헤더나 본문이 바뀌지 않았을 때만 그렇습니다. 많은 메일링 리스트와 일부 클라이언트는 이를 실제로 바꾸며, 그러면 아무도 변조하지 않은 메일인데도 서명이 실패합니다.

따라서 전달된 사본은 원본보다 나빠 보일 수도, 좋아 보일 수도 있습니다. 메일을 전달한 뒤 내보내지 말고, 도착한 그대로의 메일에서 원본 소스를 내보내십시오.

이 도구가 의도적으로 하지 않는 일

다른 헤더 도구는 이 도구가 하지 않는 몇 가지 일을 하지만, 이유는 모두 같습니다. 그중 어느 것도 요청을 보내지 않고는 할 수 없으며, 이 도구는 페이지가 로드된 뒤 요청을 하나도 보내지 않습니다. 이것은 결과가 따르는 설계상의 결정이지, 앞으로 만들 기능 목록이 아닙니다.

이런 기능이 필요하다면 호스팅형 분석기가 해 줄 것입니다. 다만 그러기 위해 메일을 받게 됩니다. 메일 헤더에는 내부 호스트 이름, 사설 주소 범위, 메일 게이트웨이의 이름과 버전, 그리고 메일을 받은 모든 사람의 주소가 담겨 있습니다. 어느 쪽을 택하든 이런 맞교환이 일어나며, 의식적으로 선택할 가치가 있습니다.

이 메일이 아닌 모든 것

문자 메시지, 채팅, 전화

스미싱(SMS를 이용한 피싱), 메신저 앱 피싱, 보이스 피싱은 전적으로 이 도구의 범위 밖입니다. 이 도구는 메일 소스를 읽습니다. 문자 메시지 스크린샷에는 이 도구가 분석하는 구조가 전혀 없습니다.

QR 코드

메일 속 QR 코드는 이미지이며, 여기서는 이미지를 해독하지 않습니다. 주소를 그림 안에 넣는 목적은 주소가 더 이상 텍스트가 아니게 만드는 데 있습니다. 그러면 이 도구와 메일 필터 전반의 링크 분석이 무력해지고, 클릭은 보통 노트북보다 보호가 약한 휴대전화로 옮겨 갑니다. 메일이 무언가를 스캔하라고 한다면, 그 코드는 검사하지 않은 링크로 취급하십시오.

조용한 형태의 비즈니스 이메일 침해

그럴듯한 주소에서 온 짧은 메일이 청구서 대금을 새 계좌 번호로 지급해 달라고 요청한다면, 그 메일에는 링크도, 첨부 파일도, 유사 도메인도, 인증 실패도 없을 수 있습니다. 찾아낼 구조적 요소가 없습니다. 탈취된 실제 계정에서 온 것이라면 첫 번째 절을 참조하십시오. 지난주에 등록된 도메인에서 온 것이라도 이 도구는 알려 줄 수 없습니다. 도메인이 언제 등록되었는지 조회할 방법이 없으며, 시도하지도 않습니다. 이 도구가 알려 줄 수 있는 것은 그 도메인이 알고 있는 도메인과 닮았는지이며, 이는 다른 질문이고 공격자가 평범한 이름이 아니라 유사 도메인을 골랐을 때만 도움이 됩니다.

이런 공격을 탐지하려면 메일이 말하는 내용, 즉 재촉, 금전 지시, 계좌 정보 변경 같은 것을 분석해야 하며, 이는 언어에 따라 달라지는 판단입니다. 이번 버전에는 의도적으로 넣지 않았습니다. 제대로 하려면 언어마다 원어민이 직접 작성해야 하며, 잘못 만든 기능은 평범한 업무 메일을 부당하게 고발하게 됩니다.

메일 밖에서 이루어지는 공격 기법

아래 기법은 현재 쓰이고 있고 효과적이며, 모두 메일 자체는 평범해 보이도록 설계되어 있습니다. 메일은 전달 수단일 뿐이고, 공격은 이 도구가 볼 수 없는 곳에서 일어납니다.

ClickFix

메일은 가짜 오류를 보여 주는 페이지로 이어집니다. CAPTCHA 실패나 로드되지 않는 문서 같은 것이며, 방문자에게 텍스트 한 줄을 복사해 직접 실행하면 해결된다고 안내합니다. 보통 터미널이나 실행 대화 상자에서 실행하게 합니다. 피해자는 자기 손으로 악성 코드를 설치하게 됩니다. 검사할 첨부 파일도 다운로드도 없으며, 메일에는 링크 하나 외에 나쁜 것이 없을 수도 있습니다. 이 도구가 그 주소를 살펴봐도 그것은 그저 주소일 뿐입니다.

정당한 웹사이트가 문서를 보거나 사람임을 증명하기 위해 명령을 복사해 실행하라고 요구하는 일은 절대 없습니다. 그런 요구를 하는 페이지는 닫으십시오.

기기 코드 피싱

공격자는 실제 ID 공급자에서 실제 로그인을 시작하고, 그때 생성된 짧은 코드를 그럴듯한 이유와 함께 보내 입력하게 합니다. 사용자는 진짜 사이트에서 진짜로 인증하고, 그 승인은 공격자의 세션으로 넘어갑니다. 위조된 것이 하나도 없습니다. 도메인도 진짜이고, 로그인 페이지도 진짜이며, 인증서도 진짜입니다. 그래서 메일 안에는 도메인 분석이나 링크 분석으로 잡아낼 것이 없습니다.

다른 사람에게서 받은 로그인 코드는 절대 입력하지 마십시오. 코드는 사용자 앞에 있는 기기, 사용자가 직접 시작한 기기를 위한 것입니다.

중간자 로그인 페이지

프록시가 사용자와 실제 로그인 페이지 사이에 자리 잡고, 사용자의 자격 증명을 그대로 넘겨주면서 이후 공급자가 발급하는 세션 쿠키를 가로챕니다. 실제 인증 요청을 그대로 전달하므로 대부분의 다단계 인증 방식을 뚫습니다. 메일 속 링크는 프록시를 가리키므로, 프록시의 도메인이 유사 도메인이면 이 도구가 경고할 수도 있습니다. 하지만 평범하고 눈에 띄지 않는 도메인이라면 구조적으로 보이는 것이 없습니다.

방어책은 탐지가 아닙니다. 로그인 페이지에는 링크가 아니라 직접 만든 즐겨찾기로 접속하고, 피싱에 강한 로그인 방식(패스키나 하드웨어 키)이 제공되면 그것을 사용하는 것입니다.

실행되는 검사의 한계

도메인의 어느 부분이 ‘등록 도메인’인가

인증 결과가 눈에 보이는 발신자의 것인지 판단하려면 등록 도메인이 어디서 끝나는지 알아야 합니다. example.co.jp는 등록 도메인이지만 co.jp는 아니라는 것입니다. 현행 메일 표준은 이를 실시간 DNS 조회로 알아냅니다. 이 도구는 그렇게 할 수 없습니다. 네트워크 요청을 전혀 하지 않기 때문입니다. 그래서 대신 Public Suffix List를 사용합니다.

두 방식은 대개 일치합니다. 다를 경우, 여기 표시되는 결과는 수신 메일 서버가 계산했을 결과보다 약간 더 엄격하거나 약간 더 느슨할 수 있습니다. 이 방식을 사용하는 모든 결과에는 그 사실이 명시됩니다. 헤더가 전혀 없는 결과도 마찬가지인데, 링크 분석도 등록 도메인을 비교하기 때문입니다.

문자표는 축소되어 있고, 그중 하나는 탐지를 놓치게 합니다

두 Unicode 데이터 파일이 두 이름이 비슷해 보이는지를 결정합니다. 하나는 비슷하게 보이는 문자들의 표이고, 다른 하나는 각 문자가 어느 문자 체계에 속하는지를 정한 표입니다. 둘 다 통째로 싣지 않고 빌드할 때 축소합니다. 메일 한 통을 확인하려고 브라우저가 수 메가바이트의 참조 데이터를 내려받아서는 안 되기 때문입니다. 하지만 두 축소가 치르는 대가는 같지 않습니다.

유사 문자표는 문자 범위로 걸러 냅니다. 도메인 이름에 나타날 수 있는 코드 포인트만 남기며, 6,565개 행 가운데 2,201개를 남깁니다. 행은 골라낼 뿐 절대 변경하지 않으며, 범위 밖의 문자는 애초에 도메인 이름에 나타날 수 없었습니다.

문자 체계 표는 문자 체계 단위로 걸러 냅니다. 약 170개 가운데 35개를 남깁니다. 도메인 등록량이 의미 있는 문자 체계와, 라틴 문자와 헷갈리게 하는 공격에 쓰이는 문자 체계입니다. 여기서도 행은 변경하지 않지만 문자 체계 전체를 제외하며, 제외된 문자 체계의 문자는 아무 정보도 없는 것으로 취급합니다. 이 때문에 탐지를 놓칠 수 있습니다. 하지만 부당한 고발은 일어날 수 없으며, 이 맞교환은 바로 그쪽으로 실패하도록 선택한 것입니다.

이 내용은 전에는 제3자 고지 사항 페이지에만 적혀 있었습니다. 그 페이지는 라이선스 원문을 원래 언어로 싣기 때문에 영어로만 제공됩니다. 이것은 라이선스 고지가 아니라 제품의 한계이므로, 모든 독자가 읽을 수 있는 이곳에 두는 것이 맞습니다.

브랜드 비교는 모든 브랜드가 아니라 가장 많이 사칭되는 브랜드를 다룹니다

발신 도메인을 자주 사칭되는 브랜드의 실제 도메인과 비교하려면, 그 브랜드들과 그 모든 정당한 도메인을 손으로 정리한 목록이 필요합니다. 이 목록은 이제 이 빌드에 들어 있습니다. 브랜드 52개, 도메인 159개이며, Council of Anti-Phishing Japan의 여섯 달 치 보고를 바탕으로 손으로 정리했고, 모든 도메인을 브랜드가 직접 게시한 페이지와 대조해 확인했습니다.

모든 브랜드의 목록은 아닙니다. 일본에는 은행이 백 곳을 훌쩍 넘지만 이 목록에는 여덟 곳만 있습니다. 증권사, 보험사, 지역 공공 서비스 기업, 카드사도 마찬가지입니다. 사칭 대상은 달마다 바뀌며, 그 꼬리를 쫓는 목록은 작성한 다음 달이면 낡게 됩니다. 이런 누락은 결정이며, 기록으로 남겨 두었습니다.

그러므로 목록에 없는 브랜드를 사칭하는 메일은 유사 도메인 비교를 전혀 받지 않습니다. 더 약한 비교가 아니라 아예 없습니다. 아래 세 가지 검사는 비교할 대상이 없을 뿐이며, 목록이 생기기 전에는 모든 브랜드에 대해 그랬습니다. 브랜드가 목록에 없다는 것은 그 브랜드를 내세운 메일이 진짜라는 판단이 아닙니다.

안전한 발신자 목록도 아닙니다. 목록에 있는 도메인과 일치한다는 것은 발신자가 그 브랜드의 유사 도메인이 아니라는 뜻일 뿐이며, 아무것도 억제하지 않고 어떤 결과도 더 깨끗하게 만들지 않습니다. 이 구별은 매우 중요합니다. 목록에 있는 브랜드 가운데 네 곳, 즉 공연 티켓 판매 회사, 택배 회사, 소셜 네트워크, 은행은 공격에 자사 도메인이 쓰이고 있다고 경고하고 있기 때문입니다.

목록에 의존하는 검사는 하나가 아니라 셋입니다. 각 검사는 발신 도메인을 브랜드의 실제 도메인과 비교하므로, 실제 도메인이 목록에 있어야 합니다.

네 번째 검사도 이 세 검사에서 비롯됩니다. 잘 알려진 서비스에 올라간 링크는 메일이 브랜드를 사칭하는 것으로 도 보일 때만 경고하므로, 이 역시 목록에 있는 브랜드로 한정됩니다.

목록이 필요 없는 검사는 메일이 어떤 브랜드를 내세우든 모든 메일에서 계속 실행됩니다. 한 도메인 이름 안의 문자 체계 혼용, 링크 구조, 발신자 신원, 경로, 인코딩입니다.

이전에 있었고 지금은 고쳐진 결함

비라틴 문자를 쓰는 도메인은 메일 안에서 두 가지 형태로 전달될 수 있습니다. 문자 그대로이거나, xn-- 접두어로 시작하는 ASCII 인코딩입니다. 둘은 같은 도메인입니다. 모든 메일 서버가 첫 번째 형태를 전달할 수 있는 것은 아니므로 두 번째 형태가 일반적입니다.

2026년 9월 15일까지 이 도구는 첫 번째 형태만 읽을 수 있었습니다. xn-- 형식을 다시 문자로 바꾸는 코드가 작동하지 않았고, 두 검사가 그 결과를 읽었습니다. 한 이름 안에서 두 문자 체계가 섞인 것을 찾는 검사와, 다른 문자 체계로만 쓰인 이름을 찾는 검사입니다. 그래서 같은 유사 도메인이 한 형태로 도착하면 피싱의 강한 징후로 보고되고, 다른 형태로 도착하면 아무것도 발견되지 않은 것으로 보고되었습니다. 그리고 흔한 쪽은 두 번째 형태입니다.

또한 디코딩된 형태가 한 번도 표시되지 않았습니다. 동형 문자는 두 형태를 나란히 보지 않으면 보이지 않는데, 이 도구는 xn-- 문자열만 보여 주고 있었습니다.

둘 다 고쳤습니다. 이제 도메인이 어떤 인코딩으로 도착하든 결과가 바뀌지 않으며, 이는 주의가 아니라 테스트로 보장합니다. 인코딩만 다르고 나머지는 똑같은 메일 한 쌍이 같은 판정을 내야 합니다.

유사 이름 검사는 발신자가 누군가를 자처하는 곳에서만 실행됩니다

유사 도메인 검사는 From, Sender, Reply-To, Return-Path 주소를 읽습니다. 링크가 가리키는 주소는 읽지 않습니다.

따라서 평범하고 올바르게 인증된 주소에서 보냈지만 링크가 유사 도메인을 가리키는 메일은 이 검사에 걸리지 않습니다. 링크의 보이는 텍스트가 한 사이트를 가리키고 링크는 다른 곳으로 이어지는 경우에는 잡히는데, 이는 별개의 검사이며 실행됩니다. 링크 텍스트가 로그인 같은 말이고 주소는 링크 자체에만 있는 경우에는 잡히지 않습니다.

유사 도메인 검사를 링크 주소로 넓히는 것은 누락이 아니라 의도적으로 나중으로 미룬 변경입니다. 부주의하게 적용하면 평범한 메일을 고발하게 됩니다. 메일은 발신자와 전혀 관계없는 많은 주소로 정당하게 링크를 걸며, 그 모두에 이름 유사성 검사를 하면 실제 회사들이 고발당합니다. 계획은 사양서에 기록되어 있으며, 위의 브랜드 목록에 달려 있습니다.

평판, 등록 시기, 이력

이 도구는 도메인이 어제 등록되었는지, 어떤 차단 목록에 올라 있는지, 누가 신고한 적이 있는지 알지 못합니다. 이 모두는 조회가 필요하며, 조회는 이 도구가 하지 않는 일입니다.

읽을 수 없는 메일

Outlook .msg 파일은 메일이 아니라 Microsoft 컨테이너 형식이므로 분석하지 않습니다. 이 도구는 이런 파일을 알아보고, 대신 읽을 수 있는 사본을 얻는 방법을 알려 줍니다. 브라우저가 의도적으로 디코딩을 거부하는 일부 문자 인코딩도 여기서는 읽을 수 없습니다. 그런 경우 결과는 잘못된 내용을 보여 주는 대신 그렇다고 밝힙니다.

깨끗한 결과의 실제 의미

그 의미는 이렇습니다. 이 도구가 사용자가 제공한 내용에 대해 실행할 수 있었던 검사 중 어느 것도 고위험 신호를 찾지 못했습니다. 이는 분명히 유용하지만, ‘이 메일은 안전하다’와 같은 말은 아닙니다. 바로 그 때문에 모든 결과는 어떤 영역을 확인했고 어떤 영역을 확인하지 못했는지 보여 줍니다.

이 도구는 판단을 돕는 수단입니다. 보증도, 필터도 아니며, 메일이 요구하는 일에 대한 사용자 자신의 판단을 대신하지도 않습니다.