회사 사칭 메일 대응, 우리 도메인 위장 메일을 발견했을 때 6단계

회사 사칭 메일 대응은 증거 보관, 받은 사람 안내, 도메인 인증 점검, 신고 순서로 진행합니다. 이 글에서는 우리 도메인으로 위장한 메일을 알아보는 방법과 발견했을 때의 6단계 대응, 고객에게 보낼 안내문에 담을 내용을 정리했습니다.

사칭 메일 대응 6단계라는 제목과 경고 표시가 붙은 편지 아이콘 — 우리 회사 이름으로 온 메일이 가짜일 수 있다는 신고는 빠르게 확인합니다.

우리 도메인으로 위장한 메일이란

회사 사칭 메일은 보낸 사람 칸에 우리 회사 이름이나 우리 도메인 주소를 띄워 거래처, 고객, 직원을 속이는 메일입니다. 메일 프로그램이 보여 주는 보낸 사람 이름은 보내는 쪽이 정할 수 있어서, 화면만 보고 진짜인지 판단하기 어렵습니다. 대부분은 결제 요청, 비밀번호 확인, 첨부 문서 열기 같은 행동을 재촉합니다.

사칭 메일은 우리 회사가 직접 해킹당하지 않아도 생깁니다. 다만 받은 사람은 우리 회사를 믿고 메일을 열기 때문에 피해가 생기면 회사 신뢰도 함께 떨어집니다. 그래서 신고를 받았을 때 "우리 서버 문제가 아니다"로 끝내지 않고 받은 사람을 보호하는 조치까지 하는 것이 좋습니다.

가짜 메일을 구별하는 단서

보낸 사람 이름은 우리 회사인데 실제 주소의 도메인 철자가 다르거나 무료 메일 주소다.
답장을 누르면 보낸 주소가 아닌 다른 주소로 회신이 간다.
메일 프로그램의 원본 보기에서 SPF·DKIM·DMARC 인증 결과가 실패로 나온다.
평소 쓰지 않는 말투, 갑작스러운 계좌 변경, 급한 결제 요청이 들어 있다.
링크를 가리키면 우리 홈페이지와 다른 주소가 보인다.

원본 보기 기능의 이름과 위치는 메일 서비스마다 다릅니다. 판단이 어렵다면 받은 사람에게 메일을 지우지 말고 첨부 파일 형태로 전달해 달라고 요청해 회사에서 확인합니다.

회사 사칭 메일 발견 때 대응 6단계

사칭 신고는 대개 거래처나 고객의 전화 한 통으로 시작합니다. 아래 순서를 미리 정해 두면 누가 받아도 같은 방식으로 대응할 수 있습니다.

증거 보관: 받은 사람에게 원본 메일을 첨부 형태로 받아 두고, 받은 날짜와 받은 사람 수를 기록합니다. 링크나 첨부 파일은 열지 않습니다.
우리 계정 확인: 우리 메일 계정이 실제로 해킹돼 보낸 것인지 확인합니다. 보낸 편지함에 해당 메일이 있거나 모르는 로그인 기록이 있다면 비밀번호를 바꾸고 해킹 대응으로 넘어갑니다.
받은 사람에게 안내: 신고한 사람에게 메일을 지우고 링크를 누르지 말라고 알립니다. 이미 눌렀거나 정보를 입력했다면 그 계정의 비밀번호를 바꾸도록 안내합니다.
공지 여부 결정: 여러 사람이 받았다면 홈페이지 공지나 고객 메일로 사칭 사실을 알립니다.
도메인 인증 점검: 우리 도메인에 SPF·DKIM·DMARC가 설정되어 있는지 확인하고, DMARC 정책을 단계적으로 강화합니다.
신고와 기록: 스팸 신고 창구와 수사기관 신고를 검토하고, 대응 내용을 사고 기록으로 남깁니다.

증거 보관, 우리 계정 확인, 받은 사람 안내, 공지 여부 결정, 도메인 인증 점검, 신고와 기록으로 이어지는 사칭 메일 대응 6단계 도식 — 회사 사칭 메일을 발견했을 때의 대응 6단계

그림의 2단계가 가장 중요합니다. 진짜 우리 계정에서 나간 메일이라면 사칭이 아니라 계정 탈취이므로, 비밀번호 변경과 로그인 기록 확인부터 해야 합니다. 관리자 계정을 노리는 메일 수법은 피싱 메일로 관리자 계정이 털리는 5가지 수법과 대응 순서에 정리했습니다.

도메인 인증으로 사칭을 줄이는 방법

SPF는 우리 도메인으로 메일을 보낼 수 있는 서버 목록, DKIM은 메일에 붙이는 전자 서명, DMARC는 두 검사에 실패한 메일을 받는 쪽이 어떻게 처리할지 알려 주는 정책입니다. 세 가지가 갖춰지면 받는 메일 서비스가 위장 메일을 걸러 낼 근거가 생깁니다. 설정 순서는 이메일 발송 도메인 인증, SPF·DKIM·DMARC 설정 순서 5단계에서 자세히 다뤘습니다.

신고 창구와 고객 안내문

사칭 메일의 신고 창구와 고객 안내문에 담을 내용을 아래 표로 비교했습니다.

구분	내용	참고
스팸 신고	KISA 불법스팸대응센터에 인터넷이나 118 전화로 신고	평일 상담 09~18시, ARS는 24시간
수사 의뢰	금전 피해나 정보 탈취가 생긴 경우 경찰 사이버범죄 신고	온라인 접수 뒤 경찰서 방문 안내
고객 안내문	사칭 사실, 우리가 보내지 않는 요청, 진짜 연락처, 이미 누른 경우 할 일	홈페이지 공지와 메일로 함께

스팸 신고 방법은 KISA 불법스팸 대응 안내에, 수사 의뢰는 경찰청 사이버범죄 신고시스템에 정리되어 있습니다. 신고 대상과 절차는 피해 내용에 따라 달라질 수 있으므로 상담 창구에서 확인하는 것이 좋습니다.

사칭 메일 대비 점검 체크리스트

사칭은 다시 생길 수 있으므로, 사고가 끝난 뒤 아래 항목을 점검해 둡니다.

우리 도메인에 SPF·DKIM·DMARC 레코드가 모두 있다.
DMARC 보고서를 받을 주소를 정해 두고 가끔 확인한다.
회사가 메일로 계좌 변경이나 비밀번호를 요청하지 않는다는 원칙을 고객에게 알려 두었다.
사칭 신고를 받는 담당자와 연락처가 정해져 있다.
회사 메일 계정에 2단계 인증이 켜져 있다.

도메인 인증 세 가지, DMARC 보고서 확인, 고객 원칙 안내, 신고 담당자, 2단계 인증 다섯 가지 점검 카드 — 사칭 메일이 다시 오기 전에 점검할 5가지

그림의 세 번째 항목처럼 "우리는 메일로 이런 요청을 하지 않습니다"라는 원칙을 홈페이지에 미리 적어 두면, 고객이 이상한 메일을 받았을 때 스스로 걸러 낼 수 있습니다.

디코랩이 돕는 방식

디코랩은 운영 중인 사이트의 수정과 점검을 맡습니다. 사칭 안내 공지를 홈페이지에 올리거나 사이트 쪽 보안 상태를 함께 확인해야 한다면 유지보수 상담으로 요청할 수 있습니다. 관리 범위는 홈페이지 유지보수 상품 안내에서 확인할 수 있습니다. 디코랩은 메일 서비스를 제공하지 않으므로 메일 계정과 도메인 인증 설정은 사용 중인 메일 서비스의 안내를 함께 확인해야 합니다.

자주 묻는 질문

사칭 메일이 왔다는 건 우리 회사가 해킹당했다는 뜻인가요?

꼭 그렇지는 않습니다. 보낸 사람 표시만 위장한 경우가 많습니다. 다만 우리 메일 계정에서 실제로 나간 메일인지는 보낸 편지함과 로그인 기록으로 반드시 확인하세요.

DMARC를 설정하면 사칭 메일이 완전히 사라지나요?

우리 도메인을 그대로 쓰는 위장은 크게 줄일 수 있지만, 철자가 비슷한 다른 도메인을 쓰는 사칭은 막지 못합니다. 고객 안내와 함께 써야 효과가 있습니다.

고객에게 사칭 안내를 보내면 오히려 불안해하지 않을까요?

안내가 없으면 고객은 진짜 회사 메일로 믿고 행동할 수 있습니다. 사실과 할 일만 짧게 쓰고, 진짜 연락처를 함께 적으면 불안보다 신뢰에 도움이 됩니다.

사칭 메일을 받았다는 연락을 받았는데 홈페이지 공지나 점검이 필요하다면 상황을 적어 디코랩 프로젝트 문의로 보내 주세요.