탐지부터 대응 조치 이행까지

이 질문은 “누가 실패했는가?”라는 질문보다 더 좁은 범위를 다룹니다: 검증된 증거와 그에 상응하는 조치 사이에 발생하는 지연 중 어떤 것은 예방할 수 있으며, 어떤 개입이 용납할 수 없는 오탐지나 부수적 피해를 초래하지 않으면서 피해자의 피해를 줄일 수 있는가?

본 보고서의 적용 범위는 계약에 따른 gTLD 생태계, 즉 등록자, 리셀러, 등록 대행사, 등록 기관 및 ICANN의 계약 준수 부서를 포함합니다. 호스팅 제공업체, CDN, 브라우저, 결제 서비스, 광고 플랫폼, 국가 CERT 및 형사 사법 당국은 증거 또는 대응 체인에 영향을 미치는 경우에만 포함됩니다. 국가 코드 최상위 도메인(ccTLD)은 거버넌스 체계가 다르며, ICANN의 gTLD 계약의 적용을 받는 것으로 간주되지 않습니다.

주요 논지의 현황

• 이 논문은 ‘인터넷 신탁 기구(ICANN)’를 ‘인터넷 신탁 생태계(gTLD)’ 내의 민간 거버넌스 및 계약 이행 기구로서 분석한다. ‘인터넷 신탁 기구(ICANN)’는 정부 규제 기관이나 법 집행 기관은 아니지만, 등록 대행사를 인증하고, 레지스트리 운영자와 계약을 체결하며, 해당 계약을 이행하도록 감독한다. 이러한 제한된 권한이 있다고 해서 제도적 책임이 면제되는 것은 아니다.
• 60~85% 범위는 본 논문의 피해 모델에서 핵심적인 정량적 추정치입니다. 이는 전 세계 모든 사기 사건에 대해 이미 확립된 통계치가 아니라, 명확한 가정과 사례 관찰을 바탕으로 도출된 검증 가능한 추정치로 제시된 것입니다. 탐지, 통지, 완화 및 피해 발생 시점의 타임스탬프를 일치시킨 사건 단위 데이터셋을 공개하는 것이 다음 단계의 증거 확보 조치입니다.
• 100~150달러라는 수치는, 정의된 접근 가능 영역, 인증서 투명성(Certificate Transparency), 그리고 상용 인프라의 공개 피드 데이터를 대상으로 한 지속적인 수집 및 초기 선별을 위한 검증 가능한 공학적 예산 추정치입니다. 이는 완전한 글로벌 가시성, 법적 검토, 이의 제기, 고가용성 또는 집행에 드는 비용이 아닙니다. 따라서 본 논문은 이를 이미 입증된 보편적인 가격이 아니라, 공개된 워크로드, 소스 인벤토리 및 비용 기록을 바탕으로 재현할 수 있는 벤치마크로 취급합니다. 이러한 구분은 테스트 대상인 비용 비대칭성을 지우지 않으면서도 주장의 범위를 좁혀줍니다.
• 이 논문의 3주 간 비교 분석은 준수 지연 시간에 관한 것이지, 도메인 일괄 차단에 대한 SLA는 아닙니다. ICANN의 계약 준수 관련 자주 묻는 질문 이에 따르면, 대부분의 민원 유형은 공식적인 상급 부서로 이관되기 전까지 5영업일 단위의 응답 기간을 세 차례 거칠 수 있는 반면, 많은 악성 캠페인은 몇 시간 또는 며칠 동안 지속된다고 합니다. 계약서에는 또한 입증 가능한 증거가 확보된 후 신속하고 적절한 대응 조치를 취해야 한다고 별도로 명시되어 있습니다. [2][4]
• 확인된 단일 목적의 악의적인 등록의 경우, serverHold 이 조치는 해당 영역에서 위임 설정을 제거하기 때문에, 가장 큰 혼란을 초래하는 DNS 수준의 대응책 중 하나입니다. 다만 이 조치가 만능은 아닙니다. 메일, 하위 도메인 및 정상적인 서비스에도 차질을 빚을 수 있으며, TTL이 만료될 때까지 캐시된 응답이 남아 있을 수 있고, 침해되었거나 공유되는 서비스의 경우 보다 세분화된 대응 조치가 필요할 수 있습니다. [4][7]

ICANN가 2024년 개정안에 따른 계약상 요건 이행 현황에 대해 발표한 첫 6개월 보고서에는 192건의 조사, 2,700개 이상의 정지된 도메인, 350개 이상의 차단된 피싱 페이지, 그리고 2건의 위반 통지가 기록되었습니다. 이러한 수치가 현재의 통제 조치가 충분하다는 것을 입증하는 것은 아니지만, 시스템이 아무런 조치도 취하지 않는다는 절대적인 주장은 배제해 줍니다. [5]

일부 피싱 공격은 몇 시간 또는 며칠 단위로 진행됩니다. Bijmans 등은 2021년에 실시한 한 연구에서 1,288개의 피싱 도메인을 분석한 결과, 평균 수명이 45시간이고 중앙값은 24시간이라고 보고했습니다. [11] 2026년에 새로 등록된 피싱 도메인을 대상으로 한 연구에 따르면, 도메인 수명 분포가 매우 편중된 것으로 나타났습니다. 수명을 측정할 수 있는 14,112개의 도메인을 분석한 결과, 평균 수명은 8.6일, 중앙값은 1일이었습니다. [12] 두 사례 모두 모든 위협 유형에 일반화할 수는 없지만, 둘 다 영업일 기준으로만 측정된 프로세스라면 왜 단기간에 그치는 사기 및 피싱 활동을 놓칠 수 있는지를 보여줍니다.

경제적으로 중요한 자산은 대개 등록비가 아니라, 도메인을 중심으로 축적된 트래픽, 창의적 자산, 인프라 및 신뢰입니다. 이러한 직관은 타당하며, 그 규모는 사기 및 피싱 운영 방식에 따라 달라집니다. 따라서 아래 계산기는 가상의 결과를 관측된 평균치로 제시하는 대신 모든 입력값을 공개합니다.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

“탐지 후 손실”은 탐지, 전달 및 피해가 일관되게 정의될 때만 유용한 결과로 간주될 수 있습니다. 블랙리스트의 타임스탬프만으로는 등록 기관이 조치 가능한 증거를 수령했다는 증거가 되지 않습니다. 지갑 거래가 자동으로 특정 도메인과 연결되는 것은 아닙니다. 도메인에 접속할 수 없게 되었다고 해서 어떤 주체가 그 변화를 일으켰는지 파악할 수는 없습니다.

최소 이벤트 스키마

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

분자와 분모는 동일한 귀속 규칙을 사용해야 합니다. 결과 보고 시 코호트, 신뢰 구간, 우측 검열, 누락된 자료원, 중복 피해자 처리 방법 및 관측 기간에 대한 민감도 분석 결과를 포함해야 합니다. “예방 가능”이라는 표기는 인과적 연구 설계나 최소한 매칭 비교 분석에 한해 사용되어야 하며, 단순히 통지 후 발생한 모든 사건에 대해 무분별하게 적용되어서는 안 됩니다.

어떤 단일 주체도 사건의 전모를 파악하거나 통제할 수는 없습니다. 등록기관(registrar)은 등록자(registrant)와의 관계를 파악하고, 레지스트리(registry)는 레지스트리가 설정한 도메인 상태를 관리하며, 호스트 및 콘텐츠 전송 네트워크(CDN)는 콘텐츠 전달을 제어하고, 브라우저와 보안 업체는 경고 메시지를 관리하며, 결제 및 전자지갑 제공업체는 자금 이체를 중단시킬 수 있고, 당국은 자료 보존이나 압수를 강제할 수 있습니다. 인터넷 신탁 관리자(ICANN)는 인터넷 신탁 생태계(gTLD) 내에서 계약을 작성하고 이행하지만, 범용 인터넷 신탁 제어 계층(EPP)을 운영하지는 않습니다.

분산된 권한이 책임의 소멸을 의미하지는 않습니다. 후원 등록기관은 악용 사례 처리를 리셀러에게 위임한다고 해서 계약상 의무를 면제받지 않으며, 레지스트리는 서버 설정 EPP 상태를 관리하고, ICANN는 계약 준수를 강제합니다. 감사 기록에는 누가 조치를 취했는지뿐만 아니라, 누가 조치 가능한 증거를 수령했는지, 사건을 다른 곳으로 이관했는지, 응답하지 않았는지, 또는 할당된 의무를 이행하지 않았는지도 기록되어야 합니다. 법적 권한은 조치를 적용할 권한을 부여받은 행위자에게 있으며, 책임 소재는 문서화된 이행 불이행 사항에도 적용됩니다.

2024년 4월 등록대행자 인증 계약과 기본 레지스트리 계약의 글로벌 개정으로 DNS Abuse 완화에 관한 명시적 의무가 마련되었다. 등록대행자는 자신이 관리하는 도메인명이 DNS Abuse에 사용되고 있음을 보여 주는 조치 가능한 증거를 확보한 경우 신속히 조치해야 한다. 레지스트리 운영자는 조치 가능한 증거에 근거하여 등록된 도메인명이 DNS Abuse에 사용되고 있다고 합리적으로 판단한 경우 신속히 조치해야 한다. 두 경우 모두 적절한 조치는 상황, 심각성, 부수적 피해에 따라 달라진다. [2][3]

자주 혼동되는 세 가지 시간대

이러한 유연성에는 장점이 있습니다. 해킹당한 대학 도메인은 새로 등록된 단일 목적의 피싱 도메인과 같은 방식으로 처리되어서는 안 됩니다. 책임 소재 문제와 관련해서는, 공개된 타임스탬프, 사례 분류 및 결과 코드가 없으면 ‘신속함’과 ‘적절함’을 비교하기 어렵습니다. 아래 제안은 모든 사례에 단일 기한이 적용될 수 있다는 전제를 내세우지 않으면서도 평가 및 검토 절차를 추가합니다.

피싱은 DNS Abuse의 계약상 정의에 명시적으로 포함된다. 더 어려운 경계는 식별 가능한 제3자를 사칭하지 않고 독자적인 이름으로 사용자를 속이는 사이트다. 일부 가짜 투자 플랫폼, 사기성 상점, 자금 회수 사기, 지갑 서명 사기 등이 이에 해당한다. 사실관계에 따라 이들은 계약상 DNS Abuse가 아니라 웹사이트 콘텐츠 차원의 위법행위, 소비자 사기 또는 다른 법적 범주로 취급될 수 있다.

정책 협의에서는 VFHA처럼 좁고 증거 기반인 범주를 향후 계약, 부문 간 이관 체계 또는 국내법에 포함할지 검토할 수 있다. 범위 확대에는 정확한 피해 기준, 신뢰할 수 있는 증거, 비례적 구제, 관할권 검토, 이의 제기가 필요하다. 모호한 “사기” 표지만으로는 부족하다.

일반 서버는 참여 중인 gTLD 영역 파일의 접근 가능한 스냅샷을 다운로드하여 로컬에서 변경 사항을 계산하고, 선택된 인증서 투명성(Certificate Transparency) 이벤트 및 공개 피드를 수집하며, 문자열을 정규화하고, 해시를 계산하고, 후보 항목의 우선순위를 정할 수 있습니다. 이는 유용하고 테스트 가능한 엔지니어링 벤치마크일 뿐, “인터넷에 대한 완전한 모니터링”은 아닙니다. 2026년 2분기, 베리사인(Verisign)은 모든 최상위 도메인(TLD)에 걸쳐 4억 160만 건의 등록 건수를 보고했습니다. CZDS는 모든 TLD가 아닌 참여 중인 gTLD 영역 파일을 다루며, CT는 모든 활성 또는 유해 도메인이 아닌 공개적으로 기록된 인증서나 사전 인증서를 기록합니다. [8][9][17]

제안된 프레임워크는 자동화된 전 지구적 킬 스위치가 아닌 참조 아키텍처입니다. 이 프레임워크는 사건 개요, 의사결정 기록 및 타임스탬프를 표준화하면서도, 권한을 부여받은 운영자가 혼란을 최소화하면서도 효과적인 조치를 선택할 수 있도록 합니다.

증거 등급

API는 검증 가능한 사례를 생성하고 감사 가능한 대응 타이머를 시작해야 하며, 신고자는 직접 보류 명령을 내릴 수 없어야 합니다. E3/E4 사례가 단일 목적의 악의적인 등록과 관련되어 있으며, 타당한 결정이나 효과적인 완화 조치 없이 만료될 경우, 시스템은 해당 사례를 등록 기관 운영자나 계약상 또는 법적 권한을 가진 다른 주체로 자동 에스컬레이션합니다. A serverHold 명령은 승인된 주체로부터만 발령될 수 있습니다. 만료 시 자동으로 권한을 상향 조정하고 레지스트리에 대한 조치 권한을 부여하는 것은 제안된 정책 변경 사항일 뿐, 기존 권한에 대한 주장이 아닙니다. 모든 상태 전환은 서명되어 감사 로그에 기록됩니다.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

응답이 성공하면 사건 ID, 담당 주체, 증거 등급, 불완전성 오류, 목표 검토 기간 및 공개 투명성 URL이 반환됩니다. 관할 주체가 권한 및 파급 효과를 평가하기 전에는 구체적인 구제 조치를 약속해서는 안 됩니다.

서비스 수준 목표는 다음과 같이 구분되어야 합니다. 감사의 말, 트라이아지, 결정 그리고 효과적인 완화. 이를 통해 서스펜션이 항상 올바른 결과라고 가정하지 않으면서도 성과를 측정할 수 있게 됩니다.

이는 시범 목표치입니다. 정확한 수치는 관측된 위협 지속 시간, 인력 배치, 오류 비용 및 법적 제약을 바탕으로 도출되어야 하며, 단일 평균값이 아닌 달성 분포와 함께 공개되어야 합니다.

안전 장치가 없는 상태에서 신속하게 대응하면, 잘못된 데이터가 검열, 상업적 방해 행위 또는 인프라 중단으로 확대될 수 있습니다. 따라서 적절한 아키텍처는 오탐지 및 부수적 피해를 최우선적인 보안 실패 사례로 간주합니다.

적법 절차에 대한 최소한의 보장

1. 모든 제한 조치에 대해 사유 코드, 증거 등급 및 책임 있는 의사결정자가 기록됩니다.
2. 등록자는 개인정보 보호가 보장된 사유서를 받아볼 수 있으며, 반박 증거를 제출할 수 있습니다.
3. 긴급 이의 제기 건은 최초 결정을 내린 사람이 아닌 다른 사람이 검토합니다.
4. 역방향 작업은 원래 작업과 동일한 부호 채널을 통해 전파됩니다.
5. 오류 및 복구 통계는 종합적으로 공개되지만, 민감한 증거 자료에 대해서는 접근 권한이 제한됩니다.

공개 등록기관 점수는 책임성을 높일 수 있지만, 단순한 순위 평가만으로는 포트폴리오 규모, 피드 적용 범위, 고객 구성, 그리고 도메인이 악의적으로 등록되었는지 또는 나중에 해킹당했는지 여부에 따라 결과가 왜곡될 수 있습니다. 점수를 이유로 등록기관의 모든 고객을 일괄적으로 차단해서는 절대 안 됩니다.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

거버넌스를 위해 복합 지표가 필요한 경우, 평가에 앞서 가중치를 설정하고 민감도 분석을 수행하며, 검증용 사례 집합을 대상으로 백테스트를 실시해야 합니다. 결과는 도메인 유형(TLD), 등록기관 규모, 위협 등급 및 증거 출처별로 계층화되어야 합니다. 그 결과물은 자동화된 도메인 판정이 아닌, 책임성 지표입니다.

투명성 등록부를 활용하면 통지가 있었는지, 언제 전달되었는지, 그리고 그에 따라 어떤 조치가 취해졌는지에 대한 분쟁을 해소할 수 있습니다. 하지만 모든 관련 자료를 공개할 경우 피해자, 개인 정보, 수사 기법, 그리고 현재 사용 중인 공격 경로가 노출될 수 있습니다. 해결책은 단계별 접근 권한 부여입니다.

각 업데이트는 추가 전용 방식으로 이루어지며, 타임스탬프가 찍히고 서명됩니다. 수정 시 기존 기록은 삭제되지 않고, 이를 대체하는 새로운 기록이 추가됩니다. 공개 검색 기능은 보존 규칙을 준수하고, 피해자에 대한 대량 노출을 방지하며, 부정확한 개인 정보에 대해서는 시정 조치를 제공해야 합니다.

유용한 파일럿 연구는 관리하기에 충분히 작으면서도 인과 관계를 검증하기에 충분히 큰 규모여야 합니다. 권장 범위: 자원한 등록기관 3곳, 레지스트리 운영자 2명, 호스팅/CDN 파트너 1곳, 독립적인 연구 피드 2개, 그리고 자격을 갖춘 이의 제기 패널 1개입니다. 사례 배정이 이루어지기 전에 연구 프로토콜과 결과 정의가 등록되어야 합니다.

시범 운영의 주요 결과

• 검증된 증거가 확보된 시점부터 효과적인 완화 조치가 시행되기까지의 시간의 중앙값 및 90분위수.
• 통지 후 발생한 귀속 가능한 피해의 차이 또는 사전에 지정된 피해자-노출 대리 변수.
• 오양성률, 부당 조치의 심각도 및 복구 시간의 중앙값.
• 동일 등록자, 인프라 클러스터, 사기·피싱 운영 수준에서의 재발.
• 검증된 사례당 및 효과적인 완화 조치당 직접 운영 비용.

DNS Abuse 대응은 순수한 기술적 필터도, 한 기관이 단독으로 해결할 수 있는 문제도 아니다. 2024년 계약 개정은 실질적인 완화 의무를 마련했지만 증거, 시기, 구제 조치에 상당한 재량을 남겼다. 이 재량은 비례성을 위해 필요하지만, 비교 가능한 기록이 없으면 성과 평가도 어렵게 만든다.

1. 증거 패키지를 표준화한다. 신고자, 등록대행자, 레지스트리, 인프라 제공자 사이에 공통 증거 출처, 타임스탬프, 결과 필드를 채택한다.
2. 각 단계를 따로 측정한다. 위협 유형과 증거 등급별로 접수 확인, 선별, 결정, 완화, 이의 제기에 걸린 시간을 공개한다.
3. 악의적 등록과 정상 서비스 침해를 구분한다. 침해된 정상 서비스에는 경로/계정 단위의 복구를 우선하고, 도메인 전체 조치는 비례적인 경우에만 적용한다.
4. 대응 목표를 시범 운영한다. 보편적 기한을 선언하는 대신 신뢰도가 높고 단일 목적에 쓰이는 악의적 등록에 대해 시간 단위 목표를 시험한다.
5. 개인정보 보호를 고려한 책임성 관련 데이터를 공개하십시오. 서명된 이력과 제한된 증거가 포함된 계층형 투명성 등록부를 사용하십시오.
6. 인과적 영향을 평가한다. 사전 등록 연구가 피해자 영향과 위협의 다른 경로로의 이동을 측정하기 전까지는 더 빠른 정지를 금전적 피해 감소와 동일시하지 않는다.

건설적인 결론은, 원래의 문제 제기에 대한 주장이 수정되었다고 해서 그 문제가 사라진다는 것이 아닙니다. 오히려 핵심 주장을 이제 검증할 수 있게 되었다는 점입니다. 즉, 탐지 후 피해 범위가 60~85%라는 것은 명백한 정량적 가설이며, $100–150은 정의된 센서 및 분류 계층에 대한 검증 가능한 공학적 예산 가정이며; 신뢰도가 높은 단일 목적의 악의적 등록 사례에 대해서는 시간 단위 대응 목표를 시범 운영할 수 있다. 작업량, 비용, 타임스탬프 및 결과를 공개하고, 이를 기준선과 비교하여 대체 효과와 오류를 측정해야 한다. 확인될 경우 계약 및 정책 변경의 근거가 될 것이며, 기각될 경우 어떤 가정이 실패했는지 파악할 수 있을 것이다.