[지디넷코리아]작년 말 정보통신부와 한국정보보호진흥원이 공동으로 개최한 "스팸 규제 강화방안 마련을 위한 정책토론회"에서 발표된 내용 중에 현재 사용하고 있는 이메일 중 86%가 비정상적인 스팸 메일이라는 조사결과가 나왔었다. 또한 최근 발표 자료 중에 스펨 메일로 인한 손실이 연간 5조에 이른다는 내용도 발표되었다. 조사 결과 중에 재미있는 사실은 스팸을 방지하기 위해서 도입한 스팸 메일 차단 시스템에 의해서 필요한 메일을 받지 못하는 경험을 가진 사람이 50%가 넘는다는 내용이다. 결국 어제 오늘의 일이 아니지만 시간이 지날수록 천문학적인 비용과 시간이 스팸 메일에 의해서 손실되고 있으며 점점 인터넷이 황폐화 되어 가고 있다고 볼 수 있다. 더 큰 문제는 이러한 문제에 대한 해결책이 너무 부족하다는 사실일 것이다.

스팸 메일 차단 솔루션의 현주소
이렇게 스팸 메일에 대한 피해가 커지자 많은 기업들이 스팸 방지 솔루션을 개발하고 있으며 자사의 솔루션을 표준화하기 위해 노력하고 있다. 지난 5월19일에는 마이크로소프트사가 자체 개발한 스팸 차단 기술인 "Caller ID for E-mail"을 표준화하기 위해서 IETF라는 인터넷 기술 표준단체에 제안할 계획이라고 밝혔다. 야후 메일도 "DomainKey"라는 스팸 차단 기술을 IETF에 제안을 한 상태이다. 또한 AOL도 "SPF"라는 스펨 차단 기술을 상용화하기 위해서 테스트 중이라고 한다.

스펨 메일을 차단하기 위한 방법은 한두 가지가 아니다. 통계를 이용한 방법, 학습을 기반한 필터링 방법, 타겟 URL을 분석하는 방법, 발신 메일 서버를 확인하는 방법 등 그 방법이 수십 가지에 이른다. 하지만 크게 그러한 기술들을 2가지로 나눈다면 "옵트-인(Opt-in)" 방식과 "옵트-아웃(Opt-out)" 방식으로 구분할 수 있다. "옵트-인" 방식은 허용된 이메일 발신자에 한해서 메일을 수신을 하는 방식을 말한다. 즉 기본적으로 수신자의 승인을 받지 않은 모든 메일을 스팸으로 간주하는 방식이다. 이렇게 승인된 이메일 주소 리스트를 "블랙리스트"에 반대되는 개념으로 "화이트리스트"라고 부르기도 한다.

그간 국내외 메일 솔루션 업체들을 통해서 발표된 제품들은 대부분이 "옵트-아웃"방식으로 개발되었다. 즉 사용자가 정의한 키워드나 이메일 주소를 허용하지 않는 방식을 말한다. 그러나 이러한 방식은 스팸 메일 발송자들의 다양한 키워드 조합과 수신자 주소를 속여서 보내는 스푸핑 기법등을 통해서 이미 무용지물이 된지 오래다. 그래서 앞서 소개되었던 MS, 야후, AOL 등은 최근에 모두 "옵트-인" 방식으로 솔루션을 제안하고 있으며, EU의 몇몇 자치국가들은 "옵트-인" 방식으로 법률로 정하려는 움직임까지 보이고 있다. 특히 그 어느 나라보다도 인터넷 규제에 소극적이던 미국이 수신자의 사전 허락 등 강력한 규제를 담은 캔-스팸(Can-Spam) 법안을 만들어 미 의회에서 통과시킨 것은 우리에게 시사하는 바가 크다.

그렇다면 "옵트-인"이 모든 스팸을 차단해 줄 수 있을까? "옵트-인" 방식의 가장 큰 딜레마는 과연 어떻게 "옵트-인" 리스트를 확보할 것인가 이다. 즉 화이트리스트를 잘 만들어야 "옵트-인" 방식은 그 의미가 있는데 문제는 85%의 스팸 메일이 포함된 이메일 리스트 중에서 스팸이 아닌 메일 주소를 지정해야 하는 과정이 존재한다. 하지만 그 과정에서 결국 85%의 스팸 리스트도 같이 볼 수 밖에 없으며, 늘어나는 스팸 메일의 성장속도를 볼 때 사용자 입장에선 여전히 스팸이 존재하는 모습으로 보인다. 결국 스팸을 받지 않기 위해서 스팸 리스트 속에서 화이트리스트를 찾아내야 하는 번거로움이 여전히 존재할 수 밖에 없다는 것이다.

퍼미션 메일 방식의 스팸 차단
필자는 '옵트-인'의 변형된 모습인 퍼미션 메일 방식의 스팸 차단 기술에 대해서 제안을 해보고 싶다. 우선 퍼미션 메일 방식에 대해서 설명을 하자면 발신자로부터 추가 정보를 획득하여 자동으로 화이트리스트를 구축하는 방식을 말한다. 예를 들면 다음 카페에서 사용자 가입을 할 때 사용되고 있는 사람에게 육안으로 식별이 가능한 임의의 문자 이미지를 제시하여 사람과 자동 프로그램을 구별하는 방식을 사용하는데 이와 유사한 방법으로 발신자에게 추가 정보를 입력하게끔 하는 방식을 말한다.

단순히 자동 프로그램만 구별하다 보면 사람에 의해 타겟 이메일 정보가 목록화 될 수 있기 때문에 더 좋은 방법은 휴대폰 뒷번호 4자리 같이 수신자의 공개된 개인 정보를 입력 받게 하면 보다 완벽한 퍼미션을 획득할 수 있게 된다. 이렇게 퍼미션이 획득된 발신자에 대해서는 퍼미션 리스트에 등록되어 이후 추가적인 인증과정을 필요 없게 된다.

퍼미션 메일의 단점은 발신자가 수신자의 추가 정보를 알지 못할 경우 메일 발신이 원천적으로 제한된다는 점이다. 발신자가 고객인 비즈니스 메일이라면 이러한 과정이 예의에 어긋날 수도 있을 것이다. 최근에 메신저가 보편화 되면서 사용자들이 상대방 이메일 주소를 가지고 인증해주는 과정에 대해서 예전만큼 크게 부정적이지는 않다는 것이 다행이다.

정부차원에서의 노력이 절실하다
올해 2월에 벨기에에서 개최된 OECD 스팸 워크샵에 참석한 우리나라는 한국정보보호진흥원에서 스팸 차단에 대한 다양한 방법들을 소개하여 세계 각국의 큰 호응을 얻었다고 한다. 프랑스와 미국의 경우 정부 차원에서 규제를 강화하고 있다. 우리나라가 IT 강국이기도 하지만 스팸 메일의 온상이기도 하고 또한 가장 큰 피해 국가이기도 하다. 스팸 차단에 대한 문제는 솔루션 기업들의 노력만으로는 해결될 수 없으며 결국 정부차원에서 노력이 절실히 필요하다. 예전처럼 몇 가지 법률안 만들어 놓고 할 일 다했다고 생각해서는 안되며, 민관이 스팸 차단을 위한 기술적인 그리고 정책적인 최선을 방법을 도출하고 제도화 해야만 제대로 된 스팸 차단이 가능해 질 것이라 생각한다. 스팸 메일은 이제 특정인이 문제가 아니라 범국가적인 문제로 인식되어야 할 시기인 것 같다.@