아태 송금장 사칭 메일 걸러낸 다층 필터링, 글로벌 금융망 지키는 스팸 룰의 기술

런던 지사 준법감시팀 직원이 아시아 태평양 결제망 송금 지시서를 사칭한 외부 메일의 링크를 누르면서 그룹 내부망에 이상 징후 알람이 켜졌다. 송신자 도메인은 본사 회계 시스템 주소와 글자 하나만 달랐고, 외견상 정기 분기 정산 안내문과 형식이 같았다.

글로벌 금융사는 분초 단위로 거래 승인과 자금 이체가 오가는 환경상 메일 한 통에 담긴 위협이 막대한 금전 손실이나 내부 정보 유출로 번지기 쉽다. 본사 중앙 서버에서 전 세계 수십 개 지사의 메일 수신 트래픽을 일괄 통제하는 구조에서, 각 국가별 규제 요건과 업무 특성을 반영한 지능형 스팸 필터링 규칙의 필요성이 커진 배경이다.

계층형 메일 검증과 헤더 정밀 분석

금융 지주사 내부망으로 들어오는 모든 외부 메일은 기본적으로 DNS 기반의 발신자 인증 체계를 거친다. 메일 발신 서버의 공인 IP가 정당한지 확인하는 SPF(발신 도메인 인증)와 전자서명의 위변조를 막는 DKIM(도메인 키 인증 메일), 그리고 이 두 가지가 어긋났을 때 수신 정책을 결정하는 DMARC(도메인 기반 메시지 인증 정책)가 1차 방어선이다.

G-Ware 스팸 룰 엔진은 1차 검증을 통과한 메일에 대해서도 헤더와 본문 텍스트, 첨부파일 구조를 다층적으로 쪼개어 검사한다. 송신 도메인의 유사 문자 조합(Typosquatting) 여부를 식별하고, 메일 본문에 삽입된 하이퍼링크가 최종적으로 리다이렉트되는 목적지 IP의 신뢰도를 실시간 평판 데이터베이스와 대조하는 방식이다.

한 글로벌 자산운용사 IT 보안 엔지니어는 "해외 지사 간 교차 거래 메일이 하루 수만 건씩 오가는 구조에서 단순 키워드 차단 방식은 정상적인 인보이스까지 걸러내 업무 지연을 부른다"며 "발신 경로의 인증 상태와 본문 내 URL의 숨은 행선지를 분리해 채점하는 정밀 룰셋이 필수적"이라고 설명했다.

지사별 자율성과 본사 통제의 균형

다국적 금융 조직에서는 본사 보안팀의 중앙 룰과 현지 지사의 예외 규칙이 충돌하는 일이 잦다. 싱가포르 지사에서 쓰는 현지 결제 파트너사의 통지 메일이 뉴욕 본사의 글로벌 보안 룰에 걸려 차단되는 식이다.

G-Ware는 테넌트(조직 단위 가상 분할 공간)별로 차등화된 정책 상속 구조를 적용한다. 본사가 지정한 핵심 차단 도메인, 악성 확장자 목록, DMARC 실패 처리 기준은 하위 조직이 수정할 수 없는 불변 룰로 강제된다. 반면 각 권역 지사는 현지 거래처의 도메인 화이트리스트나 로컬 언어로 작성된 스팸 의심 키워드 가중치를 개별 관리 패널에서 직접 조정할 수 있도록 권한을 분리했다.

이 같은 구조는 본사의 보안 통제력을 유지하면서도 현지 비즈니스의 병목을 줄이는 역할을 한다. 모든 정책 변경 이력과 화이트리스트 등록 내역은 중앙 감사 로그에 타임스탬프와 함께 기록되어 분기별 준법 감시 요구에 대응한다.

자동 학습과 감사 로그의 연계

메일 수신 격리함에 머무는 의심 메일의 사후 처리 역시 기술적인 관리 대상이다. 사용자가 스팸으로 분류된 정상 메일에 대해 격리 해제를 요청하면, 관리자 승인 단계에서 해당 도메인의 최근 송수신 패턴과 악성 페이로드 포함 여부를 다시 스캔한다.

오분류 데이터는 스팸 판정 엔진의 가중치 모델에 반영되어 오탐률을 점진적으로 낮추는 근거로 쓰인다. 동시에 격리 해제, 수신 차단, 메일 열람 여부 등 사용자와 관리자의 모든 행위는 SIEM(보안 정보 및 이벤트 관리) 시스템으로 실시간 연동되어 통합 보안 모니터링 체계와 맞물린다.

글로벌 스팸 정책을 도입할 때는 국가별로 상이한 개인정보 보호 규정과 메일 감사 범위를 사전에 명확히 정립해야 한다. 수신 필터링 과정에서 본문 스캔이 현지 통신비밀 관련 법령에 저촉되지 않는지, 격리 메일의 보존 기한이 금융 당국의 규제 준수 요건을 충족하는지 사전 검토하는 작업이 동반되어야 시스템 안착이 가능하다.