도메인 사칭과 브랜드 스푸핑: 2026년 가짜 도메인 탐지와 차단 방법

DMARC를 게시하고 발송 인프라를 잠그면 이메일 보안은 해결된 문제라고들 말합니다. 하지만 그 설정은 공격자가 내일 브랜드를 노리고 등록할 수 있는 수백 개의 도메인에 대해서는 아무것도 하지 못합니다. 도메인 사칭 대응은 헤더 위조를 막는 것과 다릅니다. 누군가 유사 도메인을 등록할 때, 그들은 우리 도메인을 위조하는 것이 아닙니다. 자기 이름으로 메일을 보내기 때문에 인증을 깨끗하게 통과하는 새 도메인을 만드는 것입니다. 우리가 소유하지 않은 도메인에 대해 DMARC 정책은 아무런 판단도 내리지 않습니다. 그래서 이메일 관리가 완벽한 브랜드도 타이포스쿼팅 도메인으로 돌아가는 피싱 캠페인에 당할 수 있습니다. 메일박스 인텔리전스 기반 사칭 탐지 도구와 사용자 사칭 보호 기능은 의심스러운 발신자를 사후에 표시하는 데 도움이 되지만, 진짜 방어는 그보다 앞에서 시작됩니다.

새로 등록된 도메인을 공개되기 전에 잡아내는 도메인 사칭 안전 장치, 실시간으로 위험을 점수화하는 사칭 대응 인텔리전스, 확인된 위협을 곧바로 삭제로 보내는 사칭 도메인 대응 워크플로를 갖춰야 합니다. 이 가이드에서는 공격자가 등록부터 악용까지 캠페인을 만드는 방식, 일반적인 이메일 보안의 사각지대, 아직 주차 상태인 유사 도메인을 찾아내는 메일박스 인텔리전스 모니터링을 가동하는 방법을 설명합니다.

요약:

• 브랜드 사칭은 2020년 이후 360% 급증했고, 피싱은 침해 사고의 16%를 차지하며 건당 440만 달러의 손실을 냅니다.
• 도메인 사칭은 타이포스쿼팅, 콤보스쿼팅, 동형 문자 공격으로 사람의 인지를 노립니다.
• SPF, DKIM, DMARC는 스푸핑을 막지만, 공격자가 등록한 유사 도메인에는 아무 효과가 없습니다.
• 등록 단계에서 위협을 탐지하는 데는 비용이 거의 들지 않지만, 로그인 정보가 탈취될 때까지 기다리면 침해 사고를 수습해야 합니다.
• 마크비전은 매일 1억 개의 신규 도메인을 스캔하며, 삭제 시간 중앙값 5.3시간과 90% 이상의 검증 정확도를 기록하고 있습니다.

도메인 사칭 공격이 비즈니스에 주는 영향

IBM의 데이터 침해 비용 보고서에 따르면 피싱은 여전히 공격자가 처음 침투하는 가장 흔한 경로로 침해 사고의 16%를 차지하며, 사고당 평균 비용은 440만 달러에 이릅니다. 그런 캠페인 대부분의 중심에는 가짜 도메인이 있습니다. 고객이나 직원이 애초에 로그인 정보를 넘기게 만드는 것이 그럴듯한 웹 도메인이기 때문입니다.

공격 규모는 꾸준히 늘었습니다. 브랜드 사칭은 2020년 이후 360% 급증했고, 이제 우리 브랜드의 사칭 쌍둥이가 이미 돌아다니고 있을 가능성은 가정이 아닙니다.

법무·IP·브랜드 보호팀에게 그 결과는 장부의 여러 항목에 걸쳐 나타납니다.

• 직접적인 금전 손실. 가짜 결제 페이지를 통한 로그인 정보 탈취와 결제 사기는 매출을 빼내고, 차지백, 환불, 사기 피해 보상 의무를 낳습니다.
• 브랜드 평판 훼손. 로고가 걸린 사이트에서 사기를 당한 고객은 브랜드를 탓합니다. 공격자는 보이지 않습니다. 문에 걸린 것은 우리 이름입니다.
• 고객 신뢰 하락. 사칭 피해자는 아예 거래를 끊는 경우가 많아, 고객 생애 가치가 조용히 줄고 다시 고객으로 만드는 비용은 처음 사기 피해액보다 훨씬 커집니다.
• 규제·법적 위험. 금융, 헬스케어, 제약처럼 데이터 보호 요건이 적용되는 분야에서는 사칭 도메인에서 시작된 침해 사고로 GDPR, CCPA, 업종별 보고 의무에 휘말리고, 뒤따르는 감사와 공시 비용까지 떠안을 수 있습니다.
• 대응 비용. 확인된 사건마다 조사, 삭제, 고객 통지, 복구 작업이 생기고, 팀은 선제적 제재에서 멀어집니다.

이 항목들 속에는 전략적인 시사점이 숨어 있습니다. IBM은 피싱 침해 사고의 평균 비용을 440만 달러로 봅니다. 사칭 도메인 탐지·삭제 프로그램의 비용은 그 일부에 불과하며, 바로 이 계산이 도메인 보호를 법무 비용 항목에서 이사회 차원의 위험 논의로 끌어올립니다.

이 비대칭이 비즈니스 근거입니다. 사칭 도메인을 탐지하고 무력화하는 데 드는 비용은 활성화된 캠페인 하나가 낳을 수 있는 침해 위험, 사기 책임, 신뢰 하락에 비하면 작습니다.

도메인 사칭이란?

본질적으로 도메인 사칭은 HTML을 입은 신용 사기입니다. 공격자는 고객, 파트너, 또는 우리 직원이 정상으로 읽을 만큼 우리 도메인과 닮은 웹 도메인을 등록합니다. 속임수는 닮음에 있습니다. 글자 하나를 바꾸거나, 하이픈을 넣거나, 브랜드명에 ‘secure’나 ‘login’을 붙이면, 회사와 아무 관련이 없는데도 얼핏 보기에는 통과하는 도메인이 됩니다.

방식은 단순합니다. 유사 도메인이 개설되면 공격자는 속이기 위해 만든 콘텐츠로 연결합니다. 그 콘텐츠는 몇 가지 흔한 형태를 띱니다.

• 로그인 페이지를 복제해 피해자가 입력하는 순간 로그인 정보를 빼내는 피싱 포털
• 결제 화면을 흉내 내 결제 정보를 가로채거나 브랜드 이름으로 가품을 파는 위조상품 쇼핑몰
• 사기성 프로모션, 가짜 고객센터 번호, 멀웨어 다운로드를 퍼뜨리는 복제 마케팅 페이지

이들을 하나로 묶는 것은 주소창입니다. 피해자는 URL을 믿기 때문에 그 아래에 뜨는 모든 것을 믿습니다.

이 공격이 무엇이고 무엇이 아닌지 정확히 짚어 두면 도움이 됩니다. 이 유형은 기술적인 무언가를 뚫는 것이 아니라 사람의 인지와 실수에 기댑니다. 공격자는 서버를 해킹하거나, 메일 시스템을 뚫거나, 방화벽을 넘을 필요가 없습니다. 도메인을 등록하고, 그럴듯한 페이지를 만들고, 누군가 URL을 잘못 읽기를 기다립니다. 악용되는 취약점은 인프라가 아니라 주의력입니다.

이 구분은 방어 방식에 중요합니다. 사칭은 시각적 유사성으로 작동하므로 위협 영역이 엄청나게 넓습니다. 하나의 브랜드가 수백 가지 변형 철자, 다른 최상위 도메인, 하위 도메인 수법으로 표적이 될 수 있고, 각각은 별도의 인프라에 놓인 별도의 등록입니다. 진짜 도메인은 손대지 않은 채 완벽하게 안전하지만, 그와 나란히 존재하는 가짜들의 그물이 트래픽을 빼앗아 갑니다.

실무적인 결론은 도메인 사칭이 보안 문제이기 전에 브랜드 악용 문제라는 것입니다. 피해는 경계 밖, 우리가 소유하지 않은 도메인과 패치할 수 없는 서버에서 일어납니다. 자사 시스템을 강화하는 것만으로는 이 공백을 메울 수 없습니다. 이에 맞서려면 브랜드 이름을 팔아먹는 도메인을 찾아 더 넓은 웹을 지켜보고 고객이 클릭하기 전에 조치해야 합니다.

도메인 사칭과 도메인 스푸핑의 차이

두 용어는 섞여 쓰이고, 이런 느슨한 사용은 팀의 방어 체계에 실제 공백을 만듭니다. 둘은 서로 다른 공격 방식이며 서로 다른 통제가 필요합니다.

도메인 스푸핑은 공격자가 아무것도 등록하지 않고 이메일 헤더를 조작해 메시지가 우리 도메인에서 온 것처럼 보이게 합니다. 발신자 필드에는 정확히 우리 도메인이 표시됩니다. 공격자가 자기 인프라로 보낸 메일의 ‘보낸 사람’ 줄을 위조하는 것이므로 찾아낼 가짜 도메인이 없습니다. 속임수는 메일 서버와 메일 서버가 전달하는 신뢰 신호를 노립니다.

도메인 사칭은 반대로 작동합니다. 공격자는 사람이 얼핏 봐서는 구분하지 못할 만큼 우리 도메인과 닮은 진짜 새 웹 도메인을 등록한 뒤, 메일 발송, 페이지 호스팅, 광고 집행에 씁니다. 도메인은 실제로 존재하고, 누군가 소유하고 있으며, 추적하고 이의를 제기할 수 있는 인프라 위에 있습니다.

이렇게 정리하면 이해하기 쉽습니다. 스푸핑은 시스템을 속이도록, 사칭은 사람을 속이도록 만들어집니다. 이 구분이 각각에 실제로 통하는 통제를 결정합니다.

실무적인 결과는 방어 체계에서 드러납니다. 스푸핑은 프로토콜 수준에서 막을 수 있습니다. 올바르게 설정된 인증 레코드는 우리 도메인을 위조한 메일을 거부하라고 수신 서버에 알려 줍니다. 이런 레코드를 게시하고 적용하면 스푸핑 메시지는 메일함에 닿기 전에 반송됩니다.

사칭은 같은 통제를 그대로 빠져나갑니다. 유사 도메인은 자체적으로 검증된 레코드로 메일을 보내는 정상적인 등록이므로 인증을 깨끗하게 통과합니다. 헤더에는 위조된 것이 없습니다. 우리가 소유하지 않은 도메인에 대해 DMARC 정책은 아무런 판단도 내리지 않습니다.

그래서 이메일 보안에 맞춰진 체계는 한 가지 위협은 막고 다른 위협은 보지도 못합니다. 인증은 스푸핑의 문을 닫습니다. 하지만 공격자가 브랜드를 노리고 등록할 수 있는 수백 개의 유사 도메인에 대해서는 아무것도 하지 못하며, 각각은 헤더 검사가 아니라 적극적인 탐색과 삭제가 필요합니다.

공격자가 흔히 쓰는 도메인 사칭 수법

도메인 리포트를 받아 보면 탐지된 항목은 몇 가지 알아보기 쉬운 패턴으로 나뉘는 경향이 있습니다. 각 패턴의 작동 방식을 알면 진짜 위협과 잡음을 더 빨리 가려낼 수 있습니다.

타이포스쿼팅

타이포스쿼팅은 손가락 실수와 빠른 눈을 노립니다. 공격자는 흔한 키 입력 실수를 반영한 도메인을 등록해, 브랜드명을 한 글자 잘못 친 방문자도 공격자가 통제하는 곳에 닿게 만듭니다. 변형은 세 가지로 나뉩니다.

• 글자 바꾸기: gooogle이 goggle이 되거나, 대문자 I 자리에 소문자 l이 들어가는 것처럼 글자 하나를 바꿉니다.
• 글자 빼기: marqvision이 marqvison이 되는 것처럼 글자 하나를 아예 뺍니다.
• 글자 더하기: amazonn.com처럼 글자를 하나 더 붙입니다.

콤보스쿼팅

콤보스쿼팅은 브랜드명은 정확히 쓰고, 공식처럼 들리는 단어를 덧붙입니다. amazon-onlineshop.com, paypal-secure.com, yourbrand-support.net 같은 도메인은 그럴듯한 서비스 페이지로 읽히며, 로그인이나 환불 페이지를 찾는 고객에게 바로 그래서 통합니다. 상표 자체는 그대로이기 때문에, 오타만 잡도록 맞춘 필터를 빠져나가는 경우가 많습니다.

동형 문자 공격

동형 문자 공격은 라틴 문자가 아닌 알파벳의 글자가 라틴 문자와 똑같아 보일 수 있다는 점을 악용합니다. 키릴 문자 ‘a’는 사람의 눈에는 영어 ‘a’와 똑같이 보이므로, 공격자는 한 글자 한 글자 정확해 보이지만 실제로는 완전히 다른 문자로 이루어진 도메인을 등록할 수 있습니다. ‘apple.com’으로 읽히는 등록에 실제로는 키릴 모음이 들어 있어, 주소창에서는 보이지 않으면서 사기 서버로 연결될 수 있습니다. 사람의 눈에는 똑같아 보이기 때문에 육안 확인만으로는 구분할 수 없습니다. 실제 문자 인코딩을 읽는 자동 탐지만이 차이를 확실하게 찾아낼 수 있습니다.

하위 도메인 악용

마지막 패턴은 유사 도메인을 아예 등록할 필요가 없습니다. 공격자는 정상적인 호스팅 서비스나 무료 사이트 빌더에 하위 도메인을 만들어 yourbrand.weebly-host.com이나 login-yourbrand.firebaseapp.com 같은 URL을 만듭니다. 상위 도메인이 신뢰받는 업체의 것이므로 페이지는 일정한 신뢰를 물려받고, 새로운 최상위 등록만 감시하는 일반적인 도메인 모니터링은 이를 놓칠 수 있습니다. 공유 인프라의 하위 도메인 활동을 살펴보면 이 사각지대를 메울 수 있습니다.

실제로 가장 큰 피해를 주는 캠페인은 이런 수법을 겹쳐 씁니다. 하나의 작전이 동형 문자 기반 도메인에 콤보스쿼팅 접미어를 붙이고, 악용한 하위 도메인에 콘텐츠를 호스팅해, 한 가지 수법만 걸러 내는 방어를 모두 무력화할 수 있습니다.

도메인 사칭 공격의 작동 방식: 등록부터 악용까지

모든 사칭 캠페인은 같은 흐름을 따르며, 단계마다 지켜보는 팀이 피해자가 페이지를 열기 전에 개입할 수 있는 틈이 생깁니다. 이 순서를 이해하는 것이 사후 수습을 조기 차단으로 바꾸는 열쇠입니다.

시작은 등록입니다. 공격자는 저렴한 등록기관에서 유사 도메인을 대량으로 사들이고, 악용 신고를 무시하고 운영자의 신원을 가려 주는 방탄 호스팅 업체에 주차해 두는 경우가 많습니다. 규모는 아무리 강조해도 지나치지 않습니다. 한 캠페인은 20일 동안 가짜 웹사이트를 20만 개 가까이 만들어 낸 것으로 확인되었으며, 이는 이런 작업이 일회성 수작업이 아니라 자동화된 등록 파이프라인으로 돌아간다는 증거입니다. 아직 공개되지 않은 갓 등록된 도메인은 콘텐츠가 올라오기 전에 관찰 목록에서 탐지할 수 있으므로, 이때가 가장 이르고 비용이 적게 드는 개입 시점입니다.

다음은 활성화입니다. 공격자는 자동 스크래핑 도구로 실제 웹사이트를 통째로 복제해 로고, 레이아웃, 문구, 결제 흐름까지 픽셀 단위로 똑같은 복제본을 만듭니다. 가짜는 몇 분 만에 세워질 수 있습니다. 어제 주차되어 있던 도메인이 오늘은 작동하는 로그인 페이지를 띄울 수 있으며, 그래서 며칠 단위의 탐지 지연은 큰 구멍을 남깁니다.

그다음은 유포로, 여러 채널을 통해 동시에 도메인을 피해자 앞에 내밉니다.

• 유사 도메인이나 연관 발신자로 보내는 피싱 이메일
• 배송 알림이나 계정 알림을 가장해 복제 사이트로 연결하는 문자 메시지 캠페인
• 브랜드명 검색 결과 상단을 돈으로 사는 악성 유료 광고

채널마다 별도의 탐지 지면이며, 유포 단계에서 도메인을 잡아내는 것도 고객이 비밀번호를 입력한 뒤에 잡는 것보다 낫습니다.

마지막 단계는 악용이며, 시계가 가장 빨리 돌아가는 곳입니다. 피해자가 로그인 정보나 결제 정보를 입력하거나 악성 파일을 내려받으면, 공격자는 원하던 것을 얻습니다. 탈취된 로그인 정보는 몇 분 만에 자동화 시스템에 들어가 다른 서비스에서 시험되며, 피해자는 그때까지 아무것도 눈치채지 못합니다. 결제 사기와 멀웨어 유포도 똑같이 압축된 시간표를 따릅니다.

교훈은 이 흐름의 뒤쪽에서 움직일수록 개입의 가치가 급격히 떨어진다는 것입니다. 등록 단계에서 도메인을 막는 데는 비용이 거의 들지 않습니다. 로그인 정보가 탈취된 뒤에 막는다면, 더 이상 공격을 예방하는 것이 아니라 침해 사고를 수습하는 것입니다.

도메인 사칭 탐지: 모니터링 전략과 도구

탐지는 가짜 도메인을 아직 주차 상태일 때 잡느냐, 고객이 이미 사기를 당한 뒤에 찾느냐를 가릅니다. 피싱 도메인 모니터링은 신규 도메인 등록과 인증서 로그를 지속적으로 스캔해 유사 도메인을 나타나는 즉시 찾아내는 일입니다. 사후 대응은 공격이 드러날 때까지 기다리지만, 모니터링은 악성 도메인이 등록되는 순간 탐지합니다. 반복 가능한 프로그램은 여러 피드를 동시에 활용하며, 각 피드가 다른 피드가 놓치는 것을 잡아냅니다.

인증서 투명성 로그

사기범이 유사 도메인에 TLS 인증서를 발급받을 때마다, 그 발급은 공개된 추가 전용 로그에 기록됩니다. 인증서 투명성은 누구나 인증서 발급을 모니터링하고 감사할 수 있도록 만들어졌으며, 브랜드 이름을 팔아먹는 도메인에 발급된 인증서를 찾아내는 능력을 크게 높여 줍니다. 공격자는 설정 단계에서 인증서를 확보하는 경향이 있기 때문에, 이 로그에서 브랜드 키워드를 지켜보면 콘텐츠가 올라오기도 전에 가짜를 찾아내는 경우가 많습니다.

신규 등록 도메인 피드

등록소와 집계 업체가 지속적으로 공개하는 대량 등록 데이터를 활용하면, 도메인이 존 파일에 올라온 지 몇 시간 안에 신규 등록에서 상표의 변형을 걸러 낼 수 있습니다. 앞서 다룬 오타·조합 패턴과 결합하면, 매일 쏟아지는 등록 데이터를 검토할 만한 후보 목록으로 줄일 수 있습니다.

DNS 쿼리 분석

조회 패턴은 그 자체로 많은 것을 말해 줍니다. 갑자기 조회량이 늘기 시작한 도메인이나, 이미 알려진 피싱 조직과 연결된 인프라로 연결되는 도메인은 캠페인이 준비 단계에서 유포 단계로 넘어가고 있다는 신호입니다. 이런 패턴을 추적하면 주차된 자리 표시용 도메인과 피해자를 끌어들이고 있는 도메인을 구분할 수 있습니다.

위협 인텔리전스 피드

통합 피드는 여러 조직의 관찰을 모으므로, 한 브랜드를 공격한 것으로 신고된 유사 도메인이 다른 브랜드들에게 경고가 될 수 있습니다. 이런 공유 인텔리전스를 모니터링에 녹이면 자체 로그만으로 볼 수 있는 범위를 훨씬 넘어 가시성이 넓어지고, 여러 사기 조직이 재사용하는 인프라 클러스터를 탐지할 수 있습니다.

브랜드 키워드 모니터링

모든 사칭이 피드에서 잡을 수 있는 등록으로 시작되는 것은 아닙니다. 검색엔진 결과, 유료 광고 게재, SNS 채널에서 브랜드명을 스캔하면, 실제 리스팅보다 위에 돈을 내고 올라간 악성 광고를 포함해 홍보를 통해 피해자에게 닿는 가짜를 찾아낼 수 있습니다.

모든 것을 잡아내는 단일 피드는 없습니다. 실제로 효과를 내는 프로그램은 이 모든 신호를 교차 확인하고, 일치 건에 점수를 매겨 분배해, 전문가가 원시 데이터를 뒤지는 대신 확인된 위협에 시간을 쓰게 합니다.

이메일 인증 프로토콜: SPF, DKIM, DMARC

앞서 다룬 스푸핑 방어는 DNS 설정에 게시하는 세 가지 레코드로 작동합니다. 이 레코드들은 우리 도메인에서 왔다고 주장하는 메시지가 진짜인지 수신 메일 서버에 알려 줍니다. 올바르게 설정하면 정확히 우리 도메인을 위조하는 공격자의 문을 닫을 수 있습니다.

각 레코드는 검사의 다른 부분을 맡습니다.

• SPF(Sender Policy Framework)는 도메인을 대신해 메일을 보낼 수 있는 IP 주소를 나열합니다. 메시지가 도착하면 수신 서버는 SPF 레코드를 조회해 발송 서버가 승인 목록에 있는지 확인합니다. 목록에 없으면 검사에 실패합니다.
• DKIM(DomainKeys Identified Mail)은 발송하는 모든 메시지에 암호화 서명을 붙입니다. 수신 서버는 DNS에 있는 공개 키로 서명을 검증해, 메일이 실제로 우리 도메인에서 왔는지와 전송 중에 아무도 바꾸지 않았는지를 모두 확인합니다.
• DMARC(Domain-based Message Authentication, Reporting and Conformance)는 나머지 둘 위에 놓입니다. SPF와 DKIM의 결과를 확인한 뒤, 실패한 메일을 어떻게 처리할지 수신 서버에 알려 줍니다. 모니터링하거나, 격리하거나, 아예 거부합니다. 또한 누가 우리 이름으로 메일을 보내고 있는지 리포트를 보내 주어, 그렇지 않으면 절대 보지 못했을 악용을 드러냅니다.

Cloudflare는 이를 메시지가 실제로 주장하는 도메인에서 왔는지 검증해 이메일 발신자를 인증하는 레코드라고 설명합니다. 세 가지를 모두 게시하고 엄격한 DMARC 정책을 적용하면, 우리 도메인을 위조한 스푸핑 메시지는 메일함에 닿기 전에 반송됩니다.

대부분의 팀이 걸려 넘어지는 경계는 여기입니다. 이 프로토콜은 우리가 소유한 도메인을 보호합니다. 소유하지 않은 도메인에는 아무런 힘이 없습니다. 유사 도메인을 등록한 공격자는 그 도메인에 자체 SPF와 DKIM 레코드를 설정하고, 피싱 메일에 깨끗하게 서명해, 수신 서버가 돌리는 모든 인증 검사를 통과합니다. 사기 도메인이 자기 이름으로 메일을 보내는 것이므로 위조된 것은 없습니다.

그러니 완벽하게 잠근 이메일 인증 체계도 한 가지 악용, 즉 누군가 정확히 우리 도메인인 척하는 것만 막습니다. 공격자가 브랜드를 노리고 세울 수 있는 거의 똑같은 수백 개의 등록에는 아무것도 하지 못합니다. SPF, DKIM, DMARC는 토대로 다루되, 그것이 남기는 공백을 인정하세요. 유사 도메인은 여전히 찾아내야 하며, 그것은 인증 레코드가 대신해 줄 수 없는 일입니다.

도메인 삭제 전략: UDRP와 법적 구제

사칭 도메인을 확인했다면, 이제 어떤 수단을 쓸지가 문제입니다. 알맞은 구제 수단은 도메인이 무엇을 하고 있는지, 얼마나 빨리 내려야 하는지, 상표 주장이 얼마나 명확한지에 달려 있습니다.

통일 도메인 이름 분쟁 해결 정책(UDRP) 절차

통일 도메인 이름 분쟁 해결 정책(UDRP)은 도메인 등록을 둘러싼 분쟁을 해결하기 위해 ICANN이 만든 절차입니다. 상표법과 도메인 분쟁 전문가인 패널이 한 차례의 서면 공방으로 결정하므로 소송보다 훨씬 빠르고 저렴합니다. 일반적인 사건은 약 두 달이면 끝나고, WIPO 같은 기관을 통한 단일 도메인·단일 패널 사건의 신청 비용은 수천 달러 초반부터 시작해 소송 비용보다 훨씬 적습니다.

이기려면 일반적으로 세 가지를 입증해야 합니다. 도메인이 상표와 동일하거나 혼동을 일으킬 만큼 유사하다는 것, 등록자에게 정당한 이익이 없다는 것, 악의로 등록되고 사용되었다는 것입니다. WIPO의 절차 가이드에서 각 요건을 자세히 설명합니다. UDRP는 유사 도메인이 분명한 악의를 가지고 등록 상표를 팔아먹는 명확한 사건에 가장 잘 맞습니다. 결과는 손해배상이 아니라 도메인의 이전이나 말소입니다.

호스팅 업체와 등록기관에 대한 악용 신고

피싱 페이지가 지금 활성화되어 로그인 정보를 빼내고 있다면 UDRP는 너무 느립니다. 호스팅 업체나 등록기관에 악용 신고를 하면 몇 시간 안에 콘텐츠를 내릴 수 있습니다. 대부분의 업체는 확인된 피싱과 상표 신고에 조치할 의무가 있는 악용 신고 창구를 운영하며, 활성화된 사기를 명시한 잘 정리된 신고서는 보통 어떤 공식 절차보다 빨리 정지를 이끌어 냅니다. 첫 연락이 멈추면 해당 도메인의 등록기관에, 그다음에는 해당 최상위 도메인을 운영하는 등록소에 에스컬레이션하세요.

수사기관 고발

결제 사기, 로그인 정보 탈취, 멀웨어 유포를 벌이는 조직적 작전은 형사 영역에 들어섭니다. 이런 건을 수사기관이나 국가 사이버범죄 수사 조직에 고발하면, 도메인 하나가 아니라 운영자가 대상이 됩니다. 이 경로는 느리므로 여러 도메인에 걸쳐 조직적인 캠페인을 벌이는 고가치 대상에 아껴 두는 것이 좋습니다.

증거 수집

이 모든 구제 수단의 성패는 증빙에 달려 있습니다. 무엇이든 제출하기 전에 증거를 확보하고 타임스탬프를 남기세요.

• URL이 보이는 침해 콘텐츠의 전체 페이지 스크린샷
• 전체 HTML 소스와 복제된 브랜드 자산
• 등록자, 등록기관, 등록일을 확인할 수 있는 WHOIS 기록
• 도메인과 인프라를 연결하는 DNS·호스팅 기록
• 피싱 이메일이나 사기 신고 같은 소비자 피해 기록

위협을 확인하는 즉시 수집하세요. 압박을 느낀 사기범은 하룻밤 사이에 페이지를 내리고 증거를 지울 수 있습니다.

선제적인 도메인 보호 프로그램 만들기

사칭보다 앞서 나가는 팀은 삭제 하나하나를 별개의 사건으로 다루지 않고, 도메인 방어를 상시 역량으로 운영합니다. 그 전환은 위협이 나타나기 전부터 시작됩니다.

방어적 등록부터 시작하세요. 흔한 오타, 트래픽이 많은 최상위 도메인, 공격자가 가장 먼저 노릴 ‘secure’나 ‘login’ 조합처럼 뻔한 브랜드 변형은 직접 사 두세요. 이런 도메인을 소유하면 사기범이 등록할 수 있는 후보에서 빠지며, 수십 개의 이름을 유지하는 연간 비용은 활성화된 피싱 캠페인 하나에 비하면 미미합니다.

등록만으로는 좁은 영역만 커버됩니다. 나머지는 쉬지 않고 돌아가며 발견한 것을 순위가 매겨진 대기열로 보내는 모니터링 워크플로에 달려 있습니다. 제대로 작동하는 파이프라인은 다음을 순서대로 수행합니다.

• 앞서 다룬 탐지 피드를 받아 일치 건마다 위험 점수를 매기며, 활성화된 피싱 페이지를 주차된 자리 표시용 도메인보다 높게 평가합니다.
• 확인된 고위험 도메인은 곧바로 삭제로 보내고, 애매한 건은 사람의 검토를 위해 보류합니다.
• 탐지부터 삭제까지 모든 도메인을 추적해 어느 것도 어중간한 상태로 멈추지 않게 합니다.

여기서 자동화와 판단의 균형이 중요해집니다. 자동화는 어떤 전문가도 직접 읽을 수 없는 수천 건의 등록을 걸러 내며 물량을 처리합니다. 사람의 판단은 경계선에 있는 상표 판단이나, 규칙이 아니라 조사원이 필요한 조직적 작전 같은 예외 건을 처리합니다.

도메인 보호는 한 팀 안에만 머물 때도 실패합니다. 위협은 법무, IT, 마케팅, 고객 지원 모두에 닿으므로, 프로그램도 네 팀 모두에 걸쳐 있어야 합니다. 법무는 상표 주장과 삭제 신고를 맡습니다. IT는 인증 레코드와 DNS를 관리합니다. 마케팅은 유료 검색과 SNS에 나타나는 사칭을 찾아냅니다. 고객 지원은 혼란스러워하는 고객에게서 스캠 소식을 가장 먼저 듣는 경우가 많아, 대기열에 연결해 둘 만한 조기 경보 채널입니다.

외부 서비스를 도입할 때는 명확한 체크리스트로 따져 보세요. 도메인, 하위 도메인, 광고, SNS 전반의 탐지 커버리지, 오탐을 낮게 유지하는 검증 정확도, 며칠이 아니라 몇 시간 단위의 삭제 속도, 삭제를 앞당기는 등록기관·호스팅 업체와의 관계입니다.

마지막으로 경영진이 알아보는 언어로 프로그램을 보고하세요. 평균 삭제 시간, 삭제한 확인 위협의 수, 브랜드를 노리는 활성 사칭의 추세선은 모두 제재 활동을 이사회가 읽을 수 있는 위험 감소로 바꿔 주며, 그래야 도메인 보호가 보안 예산의 한 줄로 묻히지 않고 브랜드 무결성의 일부로 예산을 계속 확보할 수 있습니다.

마크비전은 도메인 사칭이 커지기 전에 어떻게 막나

위에서 설명한 것이 해야 할 일입니다. 마크비전의 디지털 위험 보호 모듈은 위협이 실제로 요구하는 규모로 그 일을 하는 방법이며, 고객이 클릭한 뒤가 아니라 앞서 다룬 등록 단계에서 유사 도메인을 잡아냅니다.

탐지는 넓게 시작합니다. gTLD, ccTLD, sTLD 등록 전반에서 13억 개 도메인을 모니터링하고, 도메인 관찰 목록(Domain Watchlist)은 매일 1억 개의 신규 등록 도메인을 스캔하며 AI 위험 모델로 브랜드를 팔아먹는 변형에 점수를 매깁니다. 매일 500만 개의 신규·변경 도메인을 추적하므로, 갓 등록된 오타·조합 도메인도 콘텐츠가 올라오기 전, 아직 주차 상태일 때 드러납니다.

커버리지는 도메인에서 그치지 않습니다. 같은 모듈이 메타와 구글의 유료 광고, SNS 채널, 웹사이트 콘텐츠를 감시해, 로그인 정보를 훔치도록 만든 피싱 사이트와 공식 판매처를 사칭하는 위조상품 이커머스 사이트를 모두 잡아냅니다.

프로그램의 진가는 속도에서 나옵니다. 도메인 삭제 대응 시간 중앙값은 며칠 단위인 업계 평균과 달리 5.3시간이며, 검증 정확도는 90% 이상을 유지해 전문가가 오탐이 아니라 확인된 위협에 시간을 씁니다. 이 속도를 이끄는 세 가지 파트너십이 있습니다.

• 구글 TCRP는 DMCA 삭제에 대한 우선 검토와 일괄 제출을 제공합니다.
• Cloudflare Abuse API는 도메인 뒤의 실제 호스팅 업체를 밝혀내고 악용 신고를 자동화합니다.
• 메타 신뢰 신고자(Trusted Reporting) 파트너 자격으로, 추적한 제재 결과 기준 사기 광고 삭제율 99%를 달성합니다.

2026년 목표는 모든 DRP 채널의 완전한 AI 자동화로, 공격 물량이 늘어나는 만큼 삭제 속도도 계속 높여 갑니다.

더 깊은 요점은 이 글을 시작한 비대칭으로 돌아갑니다. 마크비전은 이를 직접 운영해야 하는 도구가 아니라 성과로 제공합니다. 등록 피드를 읽거나 등록기관을 쫓아다닐 팀을 꾸릴 필요가 없습니다. 탐지, 검증, 삭제를 마크비전이 수행하고, 이사회가 이미 이해하는 언어로 보고합니다.

맺으며: 도메인 사칭과 브랜드 보호

도메인 사칭은 단순한 전제 위에서 돌아갑니다. 유사 도메인을 등록하는 것이 표적 브랜드가 뒷수습하는 것보다 싸다는 것입니다. 공격은 탐지가 유포보다 늦을 때 성공하며, 그래서 고객이 클릭한 뒤에 쓰는 어떤 도구보다 등록 단계에서 위협을 드러내는 모니터링 피드가 중요합니다. 인증 레코드는 스푸핑을 막지만, 공격자가 상표를 노리고 세울 수 있는 거의 똑같은 수백 개의 도메인에는 아무것도 하지 못합니다. 마크비전이 등록부터 삭제까지의 시간을 어떻게 줄이는지, 그리고 왜 그 단계의 속도가 도메인 보호를 사후 수습에서 진짜 예방으로 바꾸는지 데모를 신청해 확인해 보세요.

자주 묻는 질문

브랜드 보호팀에게 도메인 사칭과 스푸핑은 어떻게 다른가요?

도메인 사칭은 amaz0n.com처럼 브랜드와 시각적으로 닮은 유사 도메인을 등록하는 것이고, 스푸핑은 등록 없이 이메일 헤더를 위조해 정확히 우리 도메인인 것처럼 꾸미는 것입니다. 사칭은 사람의 인지를 노리며 도메인 모니터링과 삭제가 필요하고, 스푸핑은 메일 시스템을 노리며 SPF, DKIM, DMARC로 프로토콜 수준에서 막을 수 있습니다.

UDRP는 호스팅 업체 악용 신고와 비교해 보통 얼마나 걸리나요?

UDRP 절차는 약 두 달이면 끝나고 신청 비용은 수천 달러 초반부터 시작하므로, 명확한 상표 침해라면 소송보다 빠르고 저렴합니다. 호스팅 업체 악용 신고는 피싱이 실제로 로그인 정보를 빼내고 있을 때 몇 시간 안에 콘텐츠를 내릴 수 있습니다. 그래서 팀은 명확한 사건에는 UDRP를, 속도가 가장 중요할 때는 직접 악용 신고를 씁니다.

이메일 인증 프로토콜로 도메인 사칭 공격을 막을 수 있나요?

아닙니다. SPF, DKIM, DMARC는 정확히 우리 도메인에서 온 것처럼 위조된 메시지를 차단해 우리가 소유한 도메인을 보호하지만, 공격자가 따로 등록한 유사 도메인에는 아무런 힘이 없습니다. amazon-secure.com을 운영하는 사기범은 그 사기 도메인이 자기 이름으로 메일을 보내기 때문에 모든 인증 검사를 깨끗하게 통과합니다. 그래서 인증 프로토콜 위에 도메인 모니터링이 필요합니다.

도메인 사칭 대응에 투자해야 하는 비즈니스 근거는 무엇인가요?

성공한 사칭 공격 한 건의 비용은 대부분의 브랜드가 배정하는 연간 모니터링 예산을 넘어서는 경우가 흔합니다. IBM은 피싱 침해 사고의 평균 비용을 사고당 480만 달러로 보고 있으며, 브랜드 사칭은 2020년 이후 360% 급증했습니다. 탐지와 삭제에 드는 비용은 침해 위험, 사기 책임, 고객 신뢰 하락에 비하면 작습니다.

법무팀은 언제 UDRP 절차보다 삭제 속도를 우선해야 하나요?

피싱 페이지가 활성화되어 지금 이 순간 로그인 정보나 결제 정보를 빼내고 있다면, 호스팅 업체 악용 신고를 통한 즉시 삭제에 집중하세요. UDRP는 영구적인 이전이나 말소가 필요하지만 두 달의 기간을 감당할 수 있는 명확한 상표 사건에 맞습니다. 수사기관 고발은 여러 도메인에 걸쳐 조직적인 사기 캠페인을 벌이는 작전에 효과적입니다.

도메인 사칭 모니터링에서 검증 정확도란 무엇이고, 왜 중요한가요?

검증 정확도는 모니터링 시스템이 탐지한 도메인을 오탐이 아닌 진짜 위협으로 얼마나 정확하게 판단하는지를 측정합니다. 정확도가 낮은 시스템은 정상 기업이 소유한 브랜드 관련 도메인, 팬 사이트, 리셀러처럼 애매하거나 무해한 등록을 팀에 쏟아 내, 전문가가 확인된 위협에 대응하는 대신 잡음을 가려내게 만듭니다. 높은 정확도(90% 이상)는 제재 대기열로 넘어온 도메인이 실제로 조치할 만한 것이라는 뜻이므로, 법무팀과 브랜드 보호팀은 분류가 아니라 삭제에 시간을 쓸 수 있습니다. 매일 수백만 건의 등록을 대규모로 모니터링하는 조직이라면 정확도가 곧 제재 비용을 좌우합니다. 사람 검토자에게 넘어간 오탐 하나하나가 활성화된 피싱 캠페인에 쓰지 못한 팀의 시간입니다.