최근 한 보안 연구자가 'noreply.net'이라는 도메인을 구매한 후, 수십만 통의 기업 내부 기밀과 민감한 개인 정보가 자동으로 유입되는 충격적인 사실이 밝혀졌습니다. 기업들이 시스템에서 자동 생성되는 알림 메일을 보낼 때, 존재하지 않는다고 생각하는 '회사명@noreply.net'과 같은 주소를 사용하면서 벌어진 일입니다. 이 연구자는 2024년 12월 이후에만 'noreply.net'으로 40만 통이 넘는 메일을 받았으며, 이 중 2만 8천여 통에는 첨부 파일까지 포함되어 있었습니다.
이러한 정보 유출은 주로 두 가지 경로로 발생합니다. 첫째, 많은 기업이 시스템 알림 메일을 보낼 때 'noreply' 도메인을 사용하며, 이 도메인이 실제 소유자가 없거나 감시되지 않는다고 가정합니다. 둘째, 직원이 퇴사하거나 계정이 삭제될 경우, 해당 이메일 주소를 'deleteduser.com'과 같은 플레이스홀더(placeholder) 도메인으로 변경하는데, 이 도메인들이 실제 외부인이 소유하고 있을 때 문제가 발생합니다. 실제로 또 다른 보안 책임자는 15달러에 'deleteduser.com'을 구매하자마자 한 시간 만에 세 개 조직의 메일이 도착했으며, 여기에는 직원 휴가 승인 요청, 호텔 예약, 심지어 중동 산업 현장의 CCTV 이미지 수천 장까지 포함되어 있었습니다. 이처럼 유출된 정보에는 지방 정부의 부상 보고서, 학교 플랫폼 계정 설정 메일, 테스트 플랫폼 자격 증명 등 매우 민감한 내용들이 다수 포함되어 있었습니다.
이 사건은 기업들이 시스템 설정과 데이터 관리 방식에 대해 얼마나 안일하게 접근하고 있는지를 여실히 보여줍니다. 존재하지 않는 주소가 필요하다면 외부 도메인 대신 내부 도메인이나 '.invalid'와 같이 존재하지 않음이 보장된 도메인을 사용해야 합니다. 악의적인 해커가 이러한 도메인을 선점했다면 기업 기밀이 대규모로 유출되어 심각한 피해를 초래할 수 있었기에, 이번 사례는 그나마 다행스러운 상황입니다. 기업들은 자사 시스템을 철저히 감사하고, 고객 및 직원 데이터가 외부 도메인으로 전송되지 않도록 즉시 수정해야 할 필요성을 느끼게 합니다. 이는 단순히 기술적인 문제를 넘어, 기업의 보안 의식과 책임감을 다시 한번 되짚어보게 하는 중요한 경고입니다.