한국인터넷진흥원은 여름 피싱이 .go.kr 발신자를 믿은 소상공인 계좌를 털어가며 지방세 환급 공지를 위조한 뒤, 지자체 공개 메일 도메인이 12월 1일까지 격리(quarantine) 또는 거부(reject) 수준의 DMARC 정책을 게시해야 한다고 이번 주 지방정부에 통보했다.

무엇이 깨졌나

공격자는 합법 지자체 포털과 한 글자 차이 나는 유사 도메인을 등록한 뒤, 많은 지자체가 DMARC를 보고만 하는 모드에 머물 때 약한 SPF를 통과한 부가세 환급 메시지를 보냈다. 한국인터넷진흥원은 8월만 위조 메일 1만 4,800건을 집계했고, 협력 은행이 막은 이체 시도는 32억 원에 달했다. 연방 지침 이후 중앙부처가 더 엄격한 정책으로 옮긴 것과 달리 시·군 도메인은 뒤처졌으며, 내부 스캔은 지자체 메일의 41%가 여전히 p=none이었다.

수사관은 피해자가 가을 신고 앞 실제 재산세 일정을 본 제목 때문에 클릭했다고 말했다. 여러 사건은 급식 공급업체가 위조 교육청 주소로 송금한 것을 겨냥했다—지자체 메일이 시민 포털 너머 결제를 떠받친다는 상기다.

한국인터넷진흥원이 명령하는 내용

개정 공공부문 이메일 인증 로드맵에 따라 .go.kr로 끝나거나 지자체가 운영하는 도메인은 최소 p=quarantine, SPF·DKIM 양쪽 정렬, 한국인터넷진흥원 중앙 수신기로의 집계 보고를 게시해야 한다. 12월 점검에 실패한 도메인은 공유 위협 정보 웹훅 접근을 잃고, 제휴 뱅킹 포털의 ‘인증 정부 메일’ 배너를 표시할 수 없다.

한국인터넷진흥원은 11월까지 DNS를 소형 ISP에 맡긴 군에 주간 상담 시간을 연다. 행정안전부는 연간 IT 보안 보조금과 연동해, 마감을 놓치면 당선 시장이 서명한 시정 계획을 제출하지 않으면 스마트정부 보조금 일부를 포기한다.

지자체가 뒤처진 이유

국내 DMARC 도입은 수년간 미국 연방기관보다 느렸고, 한국인터넷진흥원이 인용한 업계 조사는 한국 수신기가 인증 실패를 거의 존중하지 않는다고 한다. 지자체 IT는 복지 공지가 레거시 POP 클라이언트를 쓰는 고령 주민에게 막힐까 봐 오탐을 두려워했다. 한국인터넷진흥원의 타협은 집계 보고가 합법 메일 오분류가 0.1% 미만이면 격리에서 거부로 넘기기 전 두 주 모니터링을 허용한다.

일본 JPNIC와의 최근 협약은 DMARC를 선택적 위생이 아닌 인프라 신뢰로 프레임했다—서울이 국경 간 송장 사기가 늘면서 지역 동료와 형평을 원한다는 신호다.

책임은 어디에

두 도의회 법무 자문은 InfoHandle에 위조 세금 메일이 시민이 진짜 같은 .go.kr 헤더에 의존했다는 증거를 내면 지자체가 민사 책임에 노출될 수 있다고 말했다. 한국인터넷진흥원 명령은 사적 소송 원인을 만들지 않지만, 12월 이후 p=none은 행정 심판에서 과실 설정으로 다뤄진다.

여러 군 DNS를 맡는 MSP는 서명 키를 분기마다 교체한다고 증명해야 한다. 한국인터넷진흥원은 미준수 벤더를 공개 게시에 올릴 것이라고 경고했다—충청·전라 메일 대부분을 세 통합사가 지배하는 시장에서 평판 타격이다.

구현 압박

경기 엔지니어는 수원·성남 시범 전환을 큰 배달 저하 없이 마쳤다. 오래된 Exchange 클러스터를 쓰는 전라 군은 DKIM 키 불일치를 고치는 데 나흘이 걸렸다. 한국인터넷진흥원은 Ansible 플레이북과 흔한 호스팅 스택용 한국어 런북을 배포했지만, 농어촌 지자체는 벤더 도움 없이 DNS TXT를 읽을 인력이 부족하다.

은행은 1월부터 인증되지 않은 지자체 메일을 스팸함으로 내리겠다고 했으며, 한국인터넷진흥원이 단기 연장을 주더라도 그 압박이 벌금만으로는 빠르게 밀어붙였다.

공무원이 지금 해야 할 일

한국인터넷진흥원은 정책을 조이기 전에 집계 보고를 기관 수신기에 게시하고, 복지 발송 DKIM을 검증하고, 콜센터가 이메일로만 온 지급 지시를 거절하도록 훈련하라고 권한다. 시민은 메시지 링크가 아니라 공식 앱으로 세금 잔액을 확인해야 한다—정책은 관을 고치지 사용자 호기심은 고치지 않는다.

정치와 일정

국회 과학기술정보방송통신위원회는 9월 말 지방정부 사이버 예산 청문을 잡았다. 야당 의원은 세금 피싱 물결이 중앙부처가 군보다 빨랐다는 증거라고 지적했다. 한국인터넷진흥원에게 12월은 단호한 선이다. 지자체 도메인은 DMARC를 강제하거나, 은행과 학교가 from 필드의 .go.kr을 볼 때 여전히 가정하는 신뢰 표를 잃는다.

아직 모르는 것

기관 관계자는 격리 대 거부가 필요한 도메인 수를 말하지 않았고, 제3자 마케팅 툴로 대량 메일을 보내는 교육청과의 협의도 끝나지 않았다. 확인된 것: 위조 지방세 공지가 먹힌 이유는 수신기가 인증을 조언으로만 봤기 때문이다. 겨울까지 한국인터넷진흥원은 정책 필드가 달리 말하길 원한다.