Hacker News 2026.04.17 37

Gmail 계정으로 1만 통 스팸이 날아갔는데, 구글에 연락이 안 된다 - FSF의 사연

누군가 내 이름으로 스팸을 뿌리고 있다

자유소프트웨어재단(FSF)의 한 직원이 황당한 상황에 처했어요. 자신이 쓰지 않는, 또는 도용된 Gmail 계정에서 자기 이름이 적힌 스팸 메일이 1만 통 넘게 발송되는 일이 벌어졌거든요. 받은 사람들로부터 "왜 이런 메일을 보냈냐"는 항의가 쏟아지기 시작했고, 본인은 "나는 보낸 적 없다"라고 해명해야 하는 처지에 놓였습니다. 그런데 더 큰 문제는 따로 있었어요. 이 사실을 구글에 알리고 도움을 요청할 방법이 사실상 없다는 것.

거대 플랫폼의 "고객 지원 부재" 문제

구글의 무료 서비스에 사람이 직접 응대하는 고객 지원이 없다는 건 새삼스러운 얘기는 아니에요. 대부분의 이슈는 도움말 페이지의 자동화된 폼을 통해야 하고, 폼에 입력해도 자동 응답만 돌아올 뿐 실제 사람이 검토하는지조차 알기 어려워요. 평소엔 "무료니까 어쩔 수 없지" 하고 넘어갈 수 있지만, 이번처럼 계정이 도용되어 다른 사람에게 피해를 주는 상황이라면 얘기가 달라집니다.

FSF는 자유소프트웨어 진영에서 영향력 있는 단체이고, 이번 사건의 당사자도 평범한 사용자라기보다 보안과 프라이버시에 대한 지식이 충분한 사람이에요. 그런 그조차 "공식 채널로는 연락 자체가 안 된다"라고 마스토돈에 호소하고 있는 상황이라는 점이 시사하는 바가 큽니다. 일반 사용자는 어떻게 해야 하느냐는 질문이 자연스럽게 따라오게 되죠.

왜 이런 구조가 만들어졌나

조금 거시적인 얘기를 해볼게요. 구글, 메타, 마이크로소프트 같은 빅테크는 수십억 명의 사용자를 상대해요. 사람이 일일이 응대하면 비용이 천문학적으로 들기 때문에 자동화된 시스템과 머신러닝 분류기에 의존하는 게 합리적인 선택처럼 보였어요. 문제는 이 시스템이 "엣지 케이스"에 매우 취약하다는 점이에요. 계정 도용, 잘못된 정지 처분, 신원 도용으로 인한 피해 같은 상황은 자동화된 폼으로 해결되기 어렵거든요. 결국 SNS에 사연을 올려 화제가 되거나, 기자가 보도해야만 사람의 눈에 들어가는 비정상적인 구조가 굳어진 거예요.

특히 이메일 발신처럼 다른 사람에게 직접 피해를 주는 사안은 자동화로 막기 어려운 사각지대가 큽니다. 스팸 발송자는 분당 수백 통씩 메일을 보내는데, 신고 처리 시스템은 며칠씩 걸리는 비대칭이 존재해요. 그 시간 동안 피해자는 "왜 나한테 스팸을 보냈냐"는 의심을 받고, 받는 쪽 메일 서버들은 그 도메인을 블랙리스트에 넣게 되죠.

이메일 인증 기술의 한계

이런 상황을 막기 위해 SPF, DKIM, DMARC 같은 이메일 인증 표준이 만들어졌어요. SPF는 "이 도메인은 이런 서버에서만 메일을 보낼 수 있다"라고 알려주는 DNS 레코드, DKIM은 메일에 디지털 서명을 붙여 위변조를 막는 기술, DMARC는 SPF/DKIM이 실패한 메일을 어떻게 처리할지 정책을 알려주는 규약이에요. 그런데 Gmail 계정이 진짜로 도용된 경우에는 이런 인증을 다 통과하면서 메일이 발송되기 때문에 받는 쪽 서버 입장에서는 "정상 메일"로 보이는 게 문제예요.

결국 "내 계정을 누가 쓰고 있다"라는 신호는 메일 시스템 외부에서, 즉 사용자가 알아채고 신고하는 길밖에 없어요. 그리고 그 신고를 처리해줄 사람이 없다면, 피해는 계속 누적되는 거죠.

한국 개발자에게 주는 시사점

첫째, 본인이 운영하는 서비스가 외부 사용자에게 메일을 보내는 구조라면 SPF/DKIM/DMARC를 반드시 점검해야 해요. 특히 DMARC 정책을 p=quarantine이나 p=reject로 설정하지 않으면 누군가 회사 도메인을 사칭해 스팸을 뿌릴 수 있습니다.

둘째, 회사 업무용 메일을 무료 Gmail 계정으로만 운영하는 건 위험한 선택일 수 있어요. Google Workspace 유료 플랜은 그래도 지원 채널이 열려 있고, 자체 메일 서버나 비즈니스용 이메일 서비스를 병행하는 것도 검토해볼 만합니다.

셋째, 본인 계정의 2단계 인증, 디바이스별 접속 기록 점검은 정기적으로 해두세요. 이번 사건이 어떻게 시작됐는지 정확히 밝혀지진 않았지만, 대부분의 계정 도용은 비밀번호 재사용이나 피싱에서 출발해요.