문의 양식을 이용한 이메일 폭탄 공격: Synology 호스팅 경험을 통해 얻은 교훈

이메일 폭격(Email bombing)은 피해자가 보지 못하게 하려는 메시지 하나를 파묻기 위해, 누군가가 실제 웹사이트의 진짜처럼 보이는 이메일 수백 건으로 피해자의 수신함을 가득 채우는 공격 방식입니다. 2026년 9월 24일과 25일, 저희의 문의 양식도 이러한 공격 대상 웹사이트 중 하나가 되었습니다. SynoPower Club은 전체 시스템을 Synology 기반으로 운영합니다: Virtual Machine Manager 상의 Virtual DSM 내부, Container Manager에서 실행되는 WordPress, 그리고 Synology MailPlus를 통해 전송되는 메일 시스템입니다. 하룻밤 사이에 10건의 정크 메시지가 도착했으며, 각 메시지는 낯선 사람에게 확인 이메일을 발송하도록 유발했고, 이 메시지들은 모두 봇 검사를 통과했습니다. 이번 첫 번째 NAS Hosting 101 문서에서는 이메일 폭격을 포착한 방법, 몇 분 만에 NAS에서 이를 추적한 방법, 그리고 실제 고객이 정상적으로 확인 메일을 받을 수 있도록 수정한 내용에 대해 자세히 설명합니다.

SynoPower Club 포인트: 저는 Synology에서 수년간 고객 지원 업무를 담당했는데, 자체 호스팅에 대한 가장 흔한 걱정은 하룻밤 사이에 사이트가 다운될 수 있다는 것이었습니다. 하지만 이번 경우는 그렇지 않았습니다. NAS는 계속해서 페이지를 제공했고, 온라인 스토어는 주문을 처리했으며, 유일한 증상은 양식 입력란에 10줄 정도의 오류 메시지가 나타난 것뿐이었습니다. 모든 데이터가 한곳에 저장되어 있었던 것이 결정적인 역할을 했습니다. 양식 입력 내용, 메일 로그, 방문자 IP 주소가 모두 동일한 Synology 서버에 저장되어 있었기 때문에, 이메일 폭탄 공격의 원인을 추적하는 데 세 곳의 호스팅 업체에 각각 지원 티켓을 제출하는 대신 한 번에 해결할 수 있었습니다.

이메일 폭탄 공격이란 무엇이며, 문의 양식이 공격 대상이 되는 이유는 무엇인가? #

이메일 폭탄 공격은 어떤 시스템에 침입할 필요가 없습니다. 공격자는 피해자의 이메일 주소를 확보하여 뉴스레터 가입, 계정 등록, 문의 양식 등 가능한 한 많은 공개 양식에 입력합니다. 이러한 양식들은 입력된 이메일 사본을 발신자에게 다시 전송합니다. 그러면 각 웹사이트는 피해자에게 실제 서명이 포함된 이메일을 보냅니다. 이러한 이메일들은 기술적으로 스팸이 아니기 때문에 필터를 통과하여 받은 편지함에 쌓이게 됩니다.

공격의 목표는 드물게 이메일 폭탄 테러 자체입니다. 마이크로소프트 위협 인텔리전스에 따르면, 일부 공격 그룹은 이메일 폭탄 테러를 첫 단계로 사용한 후, IT 지원팀을 사칭하여 피해자에게 전화를 걸어 스팸 문제를 해결해 주겠다고 위협합니다. 또 다른 공격자들은 도용한 계정을 악용하는 동안 은행 알림, 구매 확인 또는 비밀번호 변경 알림 등을 이메일 폭탄 테러를 핑계로 삼기도 합니다.

문의 양식은 이메일 입력란에 입력된 주소로 자동 답장을 보내는 기능이 많아 공격자에게 매력적으로 보일 수 있습니다. 공격자 입장에서는 신뢰할 수 있는 발신자 이름으로 익명의 무료 메일 중계 서비스를 이용할 수 있는 셈입니다. 웹사이트 소유자 입장에서는 도메인이 원하지 않는 사람들에게 메일을 보내고 있으며, 그중 일부는 스팸 버튼을 누를 가능성이 높다는 것을 의미합니다.

Synology 호스팅 스토어에 이메일 폭탄 공격이 나타난 방식 #

제출된 내용들을 나란히 살펴보니 패턴이 명확해졌습니다. 9월 24일 저녁부터 다음 날 아침까지, 저희 지원 양식에는 1~2시간 간격으로 10건의 제출이 있었습니다. 이렇게 느린 속도는 의도적인 것입니다. 대부분의 제한 속도를 준수하면서 일반적인 교통량처럼 보이도록 하기 위함입니다.

• 이름과 메시지는 임의의 문자열입니다. 17~24개의 대소문자가 섞인 글자로 이루어져 있으며, 실제 단어는 전혀 없습니다.
• 이메일 주소는 진짜처럼 보였다., 이는 여러 국가의 대형 소비자 서비스 제공업체와 일부 기업 영역에 걸쳐 퍼져 있습니다.
• 일부 Gmail 주소에는 점이 많이 포함되어 있었습니다., 예를 들어 johnsmith의 경우 Gmail은 마침표를 무시하므로 메일은 여전히 하나의 받은 편지함에 도달하지만 양식은 매번 새로운 주소를 보게 됩니다.
• 모든 제출물이 동일한 주제를 선택했습니다., 제품 문의는 목록의 첫 번째 옵션입니다.

이 사람들 중 누구도 SynoPower Club를 방문한 적이 없습니다. 저희는 SynoPower, #1234: 제품 문의와 같은 제목의 확인 이메일을 각 사람에게 발송했습니다. 만약 이러한 이메일을 받았지만 저희에게 연락하지 않으셨다면, 이메일 폭탄 공격의 대상이 되신 것입니다. 다른 사람이 귀하의 이메일 주소를 입력했을 가능성이 높습니다. 귀하의 계정은 생성되지 않았으며, 어떠한 비용도 청구되지 않았습니다. 저희 가이드를 참고해 주세요. 이메일이 정말 SynoPower Club에서 온 것인지 확인하는 방법 저희가 발송하는 모든 주소를 나열합니다.

회전식 출입구와 함정이 범행을 막지 못한 이유 #

저희 양식에는 이미 스팸 방지 기능이 두 가지나 활성화되어 있었는데도 불구하고 이메일 폭탄 공격이 이를 뚫고 들어왔습니다. 클라우드플레어 턴스타일과 숨겨진 허니팟 필드가 그 두 가지 모두 제 역할을 했지만, 이런 상황을 위해 설계된 것은 아니었습니다.

허니팟은 사람이 볼 수 없는 숨겨진 필드를 포함하여 페이지의 모든 필드를 채우는 스크립트를 포착합니다. 이러한 제출물은 보이는 필드만 채우는 실제 브라우저에서 전송되었으므로 함정은 비어 있었습니다. 턴스타일은 방문자가 실제 브라우저와 사람처럼 행동하는지 확인합니다. 10개의 항목 모두 유효한 턴스타일 토큰을 가지고 있었는데, 이는 발신자가 조잡한 스크립트가 아닌 실제 브라우저를 사용하여 사람이 입력하는 속도로 작업했음을 의미합니다.

이메일 폭탄 공격을 막기 위한 봇 검사의 한계는 바로 이 정도입니다. 대량의 자동화된 악용을 막으려면 비용이 많이 들지만, 일반 브라우저를 통해 한 시간에 한 번씩 양식을 제출하는 인내심 있는 발신자는 영락없이 고객처럼 보입니다. 이러한 공격을 막으려면 요청의 동작 방식뿐만 아니라 출처에 대한 정보도 필요합니다.

Synology NAS에서 이메일 폭탄 공격을 추적하는 4단계 방법 #

전체 스택이 하나의 Synology 시스템에서 실행되기 때문에 조사 과정은 NAS를 벗어나지 않았습니다. 다음은 순서대로 실행한 네 가지 검사이며, 컨테이너 관리자 또는 웹 스테이션에서 호스팅되는 모든 WordPress 사이트에 적용됩니다.

조사 후 우리가 바꾼 사항 #

이메일 폭탄 공격을 해결하려면 두 가지 조건을 충족해야 했습니다. 첫째, 해당 발신자를 완전히 차단해야 했고, 둘째, 매주 라이선스 문의를 위해 양식을 사용하는 고객에게 불편함을 주지 않아야 했습니다. 결국 우리는 한 가지 목표에 맞춘 변경 사항을 적용하기로 했습니다.

이제 사이트의 모든 양식에서 Tor 네트워크를 통해 들어오는 제출은 모두 거부됩니다. Cloudflare는 Tor 트래픽에 특수 국가 코드 T1을 표시하고, 방문자 IP를 매일 갱신되는 Tor 프로젝트 종료 목록과 대조하여 확인합니다. 따라서 요청이 Cloudflare를 거치지 않고 NAS에 직접 도달하는 경우에도 이 규칙이 적용됩니다. 제출이 거부된 사용자에게는 고객 지원 이메일 주소가 포함된 간단한 메시지가 표시되므로, Tor를 선호하는 고객은 이메일을 통해 문의할 수 있습니다.

웹사이트 탐색, 결제 및 계정 페이지는 변경되지 않습니다. 이번 변경 사항은 양식을 제출하는 순간에만 적용되며, 바로 그 지점에서 악용 사례가 발생했습니다.

이메일 폭탄 공격 후에도 자동 응답 메시지를 유지해야 할까요? #

양식을 통한 이메일 폭탄 공격에 대한 가장 강력한 방어책은 입력된 주소로 아무것도 보내지 않는 것입니다. 양식이 단순히 알림만 보내는 방식이라면, 공격자는 모르는 사람의 주소를 입력해도 얻을 것이 없습니다. 저희는 이 방안을 진지하게 고려했습니다.

저희는 확인 메시지를 유지하기로 했습니다. 많은 고객들이 라이선스 키가 활성화되지 않았거나 주문 확인 이메일이 스팸으로 분류되었다는 이유로 문의를 보내주시는데, 문의 접수 확인과 함께 티켓 번호를 즉시 보내드리면 고객들의 스트레스를 크게 줄여줍니다. 확인 메시지를 삭제하는 것은 단 한 명의 발신자에게 불편을 초래하는 대신 모든 소중한 고객에게 피해를 주는 결과를 낳을 것입니다.

하지만 장단점은 분명합니다. Tor를 차단하면 발신자가 사용한 경로를 막을 수 있지만, 작정하고 공격하려는 자는 일반 프록시로 전환할 수 있습니다. Tor를 사용하지 않는 주소에서 스팸 메일이 반송되는 경우, 다음 단계는 확인 절차를 선택 사항으로 만들거나 아예 비활성화하는 것입니다. 이러한 결정은 다음 사건이 발생하기 전에 미리 점검해야 하며, 사건 발생 후에 대응하는 것이어서는 안 됩니다.

Cloudflare와 Synology 리버스 프록시 뒤에서 실제 방문자 IP 주소를 확인하는 방법 #

조사 4단계는 자체 호스팅 사이트가 이메일 폭탄 공격이나 기타 악용 사례에 직면했을 때 가장 흔히 발생하는 함정이므로 별도의 항목으로 자세히 설명해야 합니다. SynoPower Club에 대한 요청은 Cloudflare를 거친 후 Synology DSM의 리버스 프록시를 거쳐 WordPress 컨테이너에 도달합니다. 별도의 설정이 없으면 WordPress는 마지막 홉의 주소를 확인하게 되므로 모든 양식 입력, 댓글 및 주문 내역이 Cloudflare 또는 프록시 IP 주소로 기록됩니다.

Cloudflare는 CF-Connecting-IP 헤더에 원래 주소를 전달하며, Apache는 요청이 Cloudflare 또는 자체 프록시에서 온 경우에만 해당 헤더를 신뢰하도록 설정할 수 있습니다. 저희는 주문 사기 방지를 위해 며칠 전에 이 문제를 해결했고, 그 효과는 즉시 나타났습니다. 양식 입력란에 실제 Tor 종료 주소가 표시되어 몇 분 만에 패턴을 파악할 수 있었습니다.

Cloudflare 뒤에 있는 Synology NAS에 호스팅하는 경우, 사용하기 전에 이 부분을 확인하세요. 모바일 데이터를 사용하여 휴대폰으로 테스트 항목을 제출하고 저장된 IP 주소가 휴대폰에서 보고하는 IP 주소와 일치하는지 확인하십시오.

Synology에서 SynoPower Club를 실행하는 이유 #

Synology 라이선스를 판매하는 매장이라면 Synology 환경에서도 운영이 가능해야 하며, 저희 매장은 모든 기능을 갖추고 있습니다. 1티피1티 사이트를 호스팅하는 Virtual DSM 인스턴스를 관리하고, 컨테이너 관리자는 WordPress와 해당 데이터베이스를 실행합니다. Synology MailPlus 모든 주문 확인, 라이선스 발급 및 양식 답변을 전송합니다.

내부에서 달리기 Virtual DSM MailPlus는 공유 호스팅에서 거의 찾아볼 수 없는 기능을 제공합니다. 바로 전체 사이트(데이터베이스 및 구성 포함)의 스냅샷을 생성하여 몇 분 만에 복원할 수 있다는 점입니다. 이메일 폭탄 공격 방지 조치와 같은 변경 사항은 언제든 한 번의 클릭으로 이전 상태로 되돌릴 수 있기 때문에 위험 부담이 적습니다. 또한 MailPlus는 타사 메일 서비스가 아닌 자체 하드웨어에 메일과 배달 기록을 저장하므로 어떤 메시지가 누구에게 발송되었는지 로컬에서 바로 확인할 수 있습니다.

Synology 호스팅 양식을 위한 체크리스트 #

이메일 폭탄 공격 사건이 발생할 때까지 기다릴 필요 없이, 양식 보안을 강화할 수 있습니다. 일반적인 Synology 호스팅 WordPress 사이트에서는 이러한 검사가 한 시간도 채 걸리지 않습니다.

• 사이트에 있는 모든 양식을 나열하고, 방문자가 입력한 주소로 메일을 보내는 양식을 기록하세요.
• 턴스타일과 허니팟은 여전히 대부분의 자동 스팸을 차단하므로 계속 작동시켜 두세요.
• 로그에 Cloudflare 또는 리버스 프록시 주소가 아닌 실제 방문자 IP 주소가 기록되는지 확인하십시오.
• 악용 사례가 발생할 경우, 포럼에서 Tor 또는 익명 네트워크를 차단할지 여부를 미리 결정해 두세요.
• MailPlus 또는 SMTP 로그에서 양식 확인 요청량을 모니터링하고, 비정상적인 요청으로 간주할 만한 대략적인 수치를 설정하십시오.
• 보안 규칙을 변경하기 전에 Virtual DSM 또는 Btrfs 스냅샷을 생성하여 즉시 롤백할 수 있도록 하십시오.

이메일 폭탄 공격의 한계 및 주의 사항 #

이번 변경 사항은 모든 유형의 이메일 폭탄 공격을 다루는 것이 아니라, 이번 사건을 해결하기 위한 것이며, 변경 사항이 다루지 않는 부분을 명확히 할 필요가 있습니다.

양식에서 Tor 접속을 차단하면 개인 정보 보호를 위해 Tor를 사용하는 소수의 진정한 방문자마저 잃게 될 것입니다. 라이선스 판매 사이트의 경우 2024년 이후 접수된 199건의 진정한 양식 신청 중 Tor를 통한 신청은 하나도 없었으므로 이러한 절충은 간단합니다. 하지만 언론인이나 활동가를 위한 사이트라면 다른 결정을 내려야 할 것입니다.

주거용 프록시나 해킹된 가정용 라우터를 이용하는 이메일 폭탄 공격은 Tor 규칙에 걸리지 않으며, 이러한 주소를 모두 포함하는 깨끗한 목록도 없습니다. 이 경우, 이전에 내린 자동 응답 결정이 차단 목록보다 더 중요해집니다.

마지막으로, 이 어떤 것도 다른 웹사이트를 통해 전송되는 대량 메일로부터 피해자를 보호해 주지는 못합니다. 만약 여러분의 받은 편지함이 갑자기 방문한 적도 없는 사이트의 가입 및 확인 메일로 가득 찼다면, 먼저 은행, 카드, 이메일 계정에서 비정상적인 활동이 있는지 확인해 보세요. 이러한 메일 폭증은 종종 다른 문제에서 주의를 돌리려는 의도일 수 있습니다.

자주 묻는 질문 #

참고 자료 및 비디오 튜토리얼 #

• Microsoft의 이메일 폭탄 공격 관련 위협 인텔리전스, 이는 가입자 폭증을 헬프데스크 사기의 첫 단계로 이용하는 방식을 보여줍니다.
• 클라우드플레어 HTTP 헤더, 이는 Cloudflare가 Tor 트래픽에 할당하는 T1 국가 코드를 문서화한 것입니다.
• Tor 프로젝트 일괄 종료 목록, 현재 토르 종료 노드 주소 목록이 공개되었습니다.
• Gmail 주소에서 점(.)은 중요하지 않습니다., 점이 찍힌 변형들이 모두 같은 받은 편지함으로 전송되는 이유를 설명합니다.
• 원래 방문자 IP 주소 복원, Cloudflare는 프록시 뒤에서 실제 방문자 주소를 기록하는 방법에 대한 지침을 제공합니다.

이 비디오들은 이 사이트가 운영되는 Synology 구성 요소들, 즉 메일을 발송하는 MailPlus와 Synology NAS에 설치된 WordPress 호스팅에 대해 다룹니다.

Synology에 자체 웹사이트나 메일 서버를 운영할 계획이신가요? 지금 바로 시작하세요! Virtual DSM 라이선스 격리되고 스냅샷으로 보호되는 인스턴스의 경우, 또는 모든 라이선스를 찾아보려면 다음을 참조하십시오. SynoPower Club.