진정한 적은 사기꾼이 아닙니다. 바로 그 사기꾼이 발행한 수표를 현금으로 바꾸는 등록기관입니다.

사기 방지 업계가 공개적으로 말하기를 꺼리는 사실에 대해 냉정하게 솔직해져 봅시다. 대부분의 사기꾼들은 범죄의 주모자가 아닙니다. 그들은 정교하지도 않습니다. 그들 대부분은 겨우 그럭저럭 해낼 수 있는 수준에 불과합니다.

보병들을 쫓는 건 그만둬라

우리는 수년 동안 위협 행위자들을 추적해 왔습니다. 이들이 한 사기 수법에서 다음 수법으로 끊임없이 변모하는 모습을 지켜보고 있습니다. 오늘은 정보 탈취 운영자, 내일은 자금 유출 개발자, 다음 분기에는 카드 정보 거래소로 변신하죠. 우리는 그들이 가짜 신원과 인프라를 이리저리 옮겨 다니는 모습도 지켜봅니다. 이번 달은 스위스, 다음 달은 터키로 말이죠. 그들은 잘 숨지 못합니다. 신입 분석가라도 따라갈 수 있을 만큼 뚜렷한 흔적을 남기죠. 그들 대부분이 이 ‘사업’에 발을 들인 이유는 단 하나, 다른 탈출구가 없었고 합법적인 일을 할 만큼의 머리가 부족했기 때문입니다.

그렇다면 왜 이 문제는 계속 커지고 있는 것일까? 악의적인 행위자들의 수가 엄청나게 많기 때문이며, 그들을 하나씩 찾아내는 것은 수학적으로 무의미하기 때문이다.

저희 텔레그램 정보 수집 플랫폼을 살펴보세요. 데이터셋 하나만 해도 악의적인 행위자가 거의 13만 명에 달합니다. 그리고 이건 단 하나의 데이터셋일 뿐입니다.

다른 연구팀들의 과거 조사에서 밝혀진 수천 건을 더하면 상황은 명확해집니다. 이 정도 규모의 인구를 체포만으로 근절할 수는 없다는 것입니다. 수개월에 걸친 법적 절차와 국경을 넘나드는 관할권 문제라는 골칫거리, 그리고 법 집행 기관이 거의 관심을 두지 않는 소액 사기 사건들을 뚫고 한 명의 사기범이나 한 조직을 적발해도, 그 주 안에 열 명의 대체자가 생겨납니다. 개별 사기범은 값싸고 쉽게 대체 가능한 하나의 노드에 불과합니다.

경제적 여건이 바뀌지 않는 한 수학적 논리는 변하지 않습니다. 사기가 저렴한 비용으로 이루어질 수 있는 환경 — 저렴한 도메인, 아무런 질문도 하지 않는 등록 기관, 검증 절차가 전혀 없는 암호화폐 결제 — 이 지속되는 한 사기는 계속 넘쳐날 것입니다. 규모를 확대할 수 있는 유일한 전략은 사기의 비용을 높이는 것입니다. 그리고 이는 바로 현재 사기를 저렴하게 만드는 주체로 이어집니다:

통계 수치는 이것이 위기라고 말하고 있다. 업계는 이를 단순한 일시적인 현상으로 치부하고 있다.

이것은 우리의 의견이 아닙니다. 이는 인터넷의 현황을 보여주는 기록된 사실입니다:

마지막 문장을 다시 한 번 읽어보세요. 이 분야의 선도적인 독립 연구 결과는 우리가 주장하는 바와 정확히 일치합니다. 바로 ‘사기 행위의 원인은 관대한 업계 관행’이라는 점입니다. 천재적인 사기꾼 때문이 아닙니다. 관대함 때문이죠. 그리고 시장 집중도가 이를 입증합니다. 인터아일(Interisle)의 조사에 따르면, 한 캠페인에서 무과금 통행료 사기 도메인 이름 37,000개를 표본으로 분석한 결과 65%는 중국의 한 등록기관을 통해 등록되었습니다.

사기 경제는 인터넷 전반에 무작위로 분포되어 있지 않습니다. 이는 특정 도메인 등록업체를 중심으로 뭉쳐 있는데, 사기꾼들이 자신의 행적이 드러나지 않도록 은밀함을 추구하기 때문입니다.

등록 기관은 중립적이지 않습니다. 이들은 보수를 받는 참여자입니다.

등록기관이 “중립적인 인프라”라는 안일한 통념이 있습니다. 즉, 등록기관은 자신이 판매하는 도메인에서 일어나는 일과는 아무런 이해관계가 없는 수동적인 서비스 제공자라는 것입니다.

이건 거짓말입니다. 등록 기관은 정지 조치를 취하지 않은 모든 피싱 도메인으로부터 직접 수익을 얻는 영리 단체입니다. 무시된 모든 악용 신고는 보장된 수익입니다. “콘텐츠를 판단할 수 없다”는 모든 답변은 법적 입장을 가장한 사업적 결정일 뿐입니다.

사기꾼들은 가격 페이지나 디자인을 보고 등록업체를 선택하지 않습니다. 그들은 질문을 하지 않고, 도메인을 정지시키지 않으며, 신원 확인 없이 암호화폐 결제를 받아주고, 악용 신고가 들어와도 묵묵히 방관하는 등록업체를 선택합니다. 이것이 바로 시장입니다. 이것이 바로 상품입니다. 그리고 업계 자체 데이터만 봐도 누가 이를 판매하는지 알 수 있습니다. 출처: 인터아일(Interisle)의 조사 결과, 피싱 발생 건수 기준으로 상위 5개 gTLD 등록 기관은 다음과 같았습니다. NameSilo, GoDaddy, GMO (Onamae), PublicDomainRegistry, NameCheap; 관리 중인 도메인 수를 기준으로 정규화했을 때, 가장 많이 악용된 것은 NiceNIC, URL Solutions, Aceville, WebNic 및 OwnRegistrar — NiceNIC의 gTLD 포트폴리오 중 45%가 피싱 신고 대상인 것으로 나타났습니다.

등록기관은 누가 규제하나요? 엄밀히 말하면 ICANN입니다. 하지만 실제로는 아무도 규제하지 않습니다.

등록기관들 위에는 ICANN이 있습니다. ICANN 위에는 그 누구도 없습니다.

ICANN의 2013년 등록기관 인증 계약, 3.18절, 계약상 모든 공인 등록기관은 악용 신고 접수 창구를 운영해야 하며, 악용 신고에 대해 조사하고 적절히 대응하기 위해 합리적이고 신속한 조치를 취할 의무가 있습니다. 서류상으로는 — 이행해야 할 의무입니다.

실제로는 어떨까요? 우리가 매일 현장에서 목격하는 바에 따르면, 악용에 취약한 등록기관 한 곳만으로도 최소한 3.18항을 위반하는 것으로 추정됩니다. 연간 약 1,000회 — 무시된 신고, 허울뿐인 “조사”, 피해자들이 피해를 입는 동안 수 주간 방치된 피싱 도메인. 이를 5년 동안 업계 전반에 걸쳐 확대해 보면, 3.18급 실패 사례의 실제 건수는 무시되거나 부적절하게 처리된 신고가 100만 건에 달할 가능성이 높습니다. 아무도 실제 수치를 알지 못합니다. 왜냐하면 누구도 이를 집계할 의무가 없기 때문입니다. 바로 그게 핵심입니다.

그렇다면 ICANN의 제재 수단은 무엇일까요? 사실상 단 하나의 ‘핵 버튼’뿐입니다. 바로 인증 취소입니다. 벌금도, 단계적 제재도, 피해자 배상도 없습니다. 그리고 그 버튼은 거의 전적으로 이미 죽은 상태인 등록기관, 즉 수수료 납부를 중단한 유령 업체들에 대해서만 눌려집니다. 왜일까요? ICANN은 바로 자기가 “규제”하는 그 등록기관들로부터 받는 수수료로 자금을 조달하기 때문입니다. 규모가 크고 수익성이 높으며 악용 사례가 빈번한 등록기관의 자격을 박탈하는 것은 곧 ICANN의 자체 수익원을 끊는 것과 같습니다. 구조적으로 ICANN은 규제를 집행할 의지가 있을 수 없는 것입니다.

ICANN은 명목상 규제 기관의 역할을 맡았는데, 이는 바로 독립성을 유지하고 정부의 개입을 차단하기 위해서였습니다. 그 결과, 어떤 등록기관도 두려워하지 않는 규정이 탄생했습니다. 물론 선례는 있습니다. 바로 규정 준수 통지 및 경고 등이죠 (WebNIC 사례 (그중에서도). 그 결과를 살펴보세요. 엄중한 어조의 편지와 수백만 달러를 벌어들이는 비즈니스 모델의 대조입니다. 준수가 선택 사항인 규제 체제는 규제가 아니다. 그건 허울뿐인 쇼일 뿐이다.

사례 연구: NameSilo — “가장 빠르게 성장하는” 기업이자, 가장 빠르게 외면하는 기업

NameSilo는 상장 기업입니다. 이 회사는 증권거래소에 수백만 단위의 매출을 기록한 보고서를 제출하며, 전 세계에서 가장 빠르게 성장하는 도메인 등록 기관 중 하나라고 자처합니다. 또한 앞서 인용한 독립 연구에 따르면, 이 회사는 피싱 공격 건수 순위에서 1위를 차지하고 있습니다. 우연일까요? 다음은 우리가 직접 목격한 내용입니다:

NameSilo는 수익 손실을 피하기 위해 미국 사용자 보호 요청을 얼마나 많이 직접 무시했을까요? 저희의 경험을 바탕으로 답하자면, 단순히 ‘많이’가 아니라 ‘대부분’이라고 생각합니다. 게다가 이에 대한 책임 추궁은 전혀 이루어지지 않고 있습니다.

상황은 더 흥미로워집니다. NameSilo는 (자신들이 아무런 불만도 접수하지 않았다고 주장했던) 한 고객사가 VirusTotal의 탐지 결과를 제거할 수 있도록 도왔다고 공개적으로 밝힌 바 있습니다. 그 논리를 따라가 보겠습니다:

• 피싱 도메인 차단 요청: "우리는 무엇이 악의적인지 판단할 자격이 없습니다."
• 유료 고객 지원: 갑자기 포춘 500대 보안 업체들의 탐지 판정을 뒤집을 자격을 얻게 되었다.

기술적 무능함을 방패로 삼으면서 동시에 기술적 권위를 내세울 수는 없다. 둘 중 하나를 선택하라. 이것은 우연도 아니고, 단발성 사례도 아니다. 이는 일종의 패턴이다. 돈만 쫓고, 아무것도 하지 않으며, 누구에게도 책임을 지지 않는 것이다.

ICANN 인증의 진정한 가치: Trustname, 현재 상황

이 이해 상충은 구조적이며 간단합니다: 규제 당국은 결코 자신이 규제하는 대상으로부터 직접 수익을 얻어서는 안 된다. ICANN은 그렇게 하고 있습니다. 그리고 저희는 ICANN의 약 400명의 직원들이, 이 도메인들이 바로 그 사용자들의 지갑을 털기 위해 만들어진 것임에도 불구하고, 사용자 안전보다 훨씬 더 시급한 문제들로 바쁘게 움직이고 있을 것임을 잘 알고 있습니다.

그 인증이 오늘날 현실에서 실제로 어떤 가치를 지니는지 살펴보겠습니다. 다음을 고려해 보십시오. 신탁명 (Fewmoretaps OÜ) — 저희가 이용하는 등록기관 자세히 기록되어 있다. 서류상으로는 에스토니아 기업이지만, 실제로는 벨라루스 단 한 명의 소유주 겸 운영자, 즉 100% 지분을 보유한 주주이자 CEO이자 유일한 직원이 운영하고 있습니다. 2024년 신고 매출액은 다음과 같습니다: 120유로. 이 회사는 올해 들어서야 본격적으로 도메인 판매를 시작했습니다. 또한 ICANN 인증(IANA #4318)은 회사가 청산 중임에도 불구하고 여전히 운영 중. 이 회사가 관리하는 약 7,641개의 도메인 중, 활성 상태인 파일 중 86%가 악성 파일로 확인되었습니다..

ICANN이 바로 그들에게 신뢰의 상징을 부여한 것입니다. 그리고 이는 ICANN이 악용 사례를 어떻게 처리하는지에 대한 우리의 평가가 아니라, Trustname의 평가입니다. 자체적으로 발표한 학대 방지 정책:

“ICANN 지침에 따르면, 대부분의 경우 도메인에 대해 조치를 취하려면 등록기관에 유효한 법원 명령서나 등록자의 동의를 제시해야 합니다.”

“자동화된 위협 분석 시스템을 통해서만 접수된 신고는 결정적인 증거가 아닌 수사 단서로 취급됩니다… 또한 Trustname은 검토 시점에 해당 악용 사례가 여전히 진행 중인지에 대한 확인을 요청할 수 있습니다.”

“무료 또는 익명 이메일 서비스(예: @gmail.com, @proton.me)를 통해 접수된 신고 건은 추가 확인 절차를 거치게 됩니다.”

“당사는 해당 사이트 콘텐츠의 합법 여부를 판단하지 않으며, 법 집행 기관의 지시가 있거나 당사의 이용 약관을 명백히 위반한 경우에만 조치를 취할 것입니다.”

이것을 하나의 시스템으로 읽어보면 그 설계는 명백합니다: 타당한 법원 명령 특정 분야를 건드리는 것; 실제 적발 사례가 단순한 “단서”로 격하되는 것; 사기를 재확인하라는 요구는 아직 살아 있다 검토 단계에서는 — 이미 충분히 시간을 끌었을 때; Gmail이나 Proton을 통해 신고하는 모든 사용자에 대한 추가 “확인” 절차; 그리고 콘텐츠에 대한 판단을 일괄적으로 거부하며, 정중하게 “호스팅 제공업체에 문의하십시오”라고 안내하는 방식입니다. 여기에 암호화폐는 받아들이고 일반 우편물은 거부하는 등록기관 소유의 개인정보 보호 장치를 더하면, 이는 악용 신고 처리 절차라고 할 수 없습니다. 그 결과 서류 작업으로 무적 되기 — 게다가 이 문서는 ICANN 공인 등록기관의 레터헤드에 기재되어 있습니다.

이는 ICANN을 직접적으로 비난하는 것입니다. 벨라루스가 운영하는, 매출 120유로에 불과한 1인 기업이 — 현재 청산 절차 중임에도 — 유효한 인증을 보유하고 있으며, 어떤 조치도 중단하지 않도록 고안된 정책을 공개적으로 게시하고 있습니다. ICANN이 이에 대응할 수 있는 가장 강력한 수단은 서한뿐이며, 지금까지 이러한 서한에 대한 대응은 자격 정지 조치가 아닌 이용약관 개정으로 나타났습니다. 최종 제재 수단이 서한에 불과하고, 이에 대한 응답으로 이용약관이 수정되는 규제 기관은 진정한 규제 기관이 아니다. 한편, 매일 수많은 사람들이 .com 그리고 서류 작업이 반복되는 동안 이와 같은 운영자들을 거치는 다른 도메인들. 운영 중인 피싱 페이지를 폐쇄하라는 세 건의 법원 명령은 적법한 절차가 아닙니다. 이는 희극에 불과하며, ICANN은 이를 요구하는 운영자들에게 인증을 부여함으로써 이 희극을 뒷받침하고 있습니다.

트러스트네임은 우연한 사고가 아닙니다. 이는 인증 절차가 허술하고 책임 소재가 불분명할 때 발생하는 현상입니다. 에스토니아를 비롯한 여러 EU 관할 구역에서는(이러한 유령 회사들이 수없이 많은 곳인, 케이타로 (포함), 그리고 법인 설립 비용이 매우 저렴한 영국 등은 실질적인 심사 절차를 생략한 가격으로 법인 및 서비스 이용권을 판매합니다. 그 결과, 아무도 확인하지 않고 책임지는 이도 없기 때문에 합법적인 기업조차도 본질적으로 불신이 만연한 환경에 놓이게 됩니다. 우리는 특정 국가 코드 사업자들과도 법원 명령이라는 동일한 장벽의 변형에 부딪혔으며, 이에 대해서는 별도로 기록할 예정이다.

해결책은 명백합니다. 바로 과태료와 법적 책임입니다.

우리는 검열 권한을 요구하는 것이 아닙니다. 우리는 다른 모든 산업이 이미 갖추고 있는 것, 즉 계약상 과실에 대한 법적·재정적 책임을 요구하고 있는 것입니다.

등록기관들은 “피싱이 무엇인지 판단할 것을 기대할 수는 없다”고 항변할 것입니다. 이에 반문하건대, 돈을 받고 인증 의무를 서명할 능력은 있으면서 정작 그 의무를 이행할 능력은 없다는 말입니까? 만약 등록기관이 증거가 첨부된 악용 신고를 진정으로 평가할 수 없다면, 계약상 정확히 그러한 평가를 요구하고 있는 인증을 보유할 자격이 없습니다.

이를 대체할 것은 무엇일까요? 공개적이고 실시간으로 업데이트되는 악용 내역부입니다.

우리는 제2의 ICANN을 제안하는 것이 아닙니다. 그럴 필요도 없습니다. 인터넷의 핵심 시스템 중 두 곳이 이미 그 해답의 윤곽을 보여주고 있습니다: TLS/SSL 인증서 투명성 그리고 WHOIS — 공개적이고, 검색이 가능하며, 누구나 열람할 수 있는 기록. 악용 사례 처리도 같은 방식으로 이루어져야 합니다: 등록기관이 접수한 모든 학대 신고 내역과 이에 대해 정확히 어떤 조치를 취했는지를 명시한, 투명하고 공개적인 등록부 — 타임스탬프가 찍혀 있으며, 감사 가능하고, 사후에 부인할 수 없습니다.

그 기준이 확립되면, 오늘날의 연극 대부분은 무너져 내립니다:

• 실제 위협을 막기 위한 해외 법원의 명령은 없다. 지갑 자금을 탈취하는 피싱 페이지는 당장 눈앞에 닥친 위협입니다. 이를 차단하는 데 있어 해외 영토의 어느 섬에 있는 법원의 판결이 필요해서는 안 됩니다. 증거는 보고서에 명시되어 있으며, 등록 기관이 조치를 취했는지 여부는 공개 기록을 통해 확인할 수 있습니다.
• 트라이아지는 자동화될 수 있다. 등록 기관들은 “공격”과 스팸 신고로 인해 허덕이고 있다고 주장하는데, 이는 바로 AI 레이어 효과적인 방법은 다음과 같습니다. 잡음을 걸러내고, 근거가 확실한 사례를 선별하며, 모든 결정을 기록하는 것입니다. 남용 처리 절차의 첫 단계에 단순하고 정직한 필터 하나만 설치해도, 현재의 비체계적인 수작업 방식보다 훨씬 더 나은 성과를 낼 수 있습니다. 이를 위해 ICANN의 2인자가 따로 필요하지 않습니다.
• 변명의 유효기간이 만료됩니다. 등록 대행사는 판매하는 도메인마다 수수료를 받습니다. 악용 사례를 처리하는 것은 그 거래의 또 다른 절반일 뿐, 호의로 하는 일이 아닙니다. NameSilo의 “저희는 자격이 없습니다”라는 식의 태도는 기술적 한계가 아니라 사업적 결정입니다. 피싱 키트와 정상적인 트래픽을 진정으로 구분하지 못하는 회사는 다른 사업을 운영해야지, 기본적으로 사기 및 피싱 활동을 뒷받침해서는 안 됩니다.
• 더 이상 “보고를 받은 적이 없다”는 말은 없어야 합니다. WebNic과 NiceNic은 이미 신고서에 첨부된 스크린샷을 다시 보내달라고 요구하는 자동 응답을 보내왔고, NameSilo는 대중에게 “단 한 건의 불만도 접수된 적이 없다”고 밝혔습니다. 그러나 이러한 주장들은 시간 기록이 명시된 공개 장부와 대조해 보면 모두 사실과 다릅니다.

그리고 장부는 유일하게 중요한 결과를 도출해 낸다 집행 가능한. 피해자가 도메인 때문에 자금을 잃게 되면 며칠 뒤 이미 입증된 보고서가 기록에 남아 있었고 — 공개 기록에 따르면 등록 담당자가 이를 방치한 것으로 드러났으며 — 이는 더 이상 유감스러운 ‘회색지대’가 아닙니다. 이는 시간 기록이 명시된 문서화된 과실이며, 등록 담당자는 해당 사건에 대해 재정적 책임을 져야 합니다.

이것이 바로 전체적인 작동 원리입니다. 신고를 무시하는 데 드는 비용이 신고에 대응하는 데 드는 비용보다 더 커지는 순간, “우리는 자격이 없다”는 핑계는 더 이상 통하지 않게 되고, 신고 처리 부서는 갑자기 예산과 인력을 확보하게 되며, 침묵을 사려던 사기꾼들은 더 이상 살 수 있는 침묵이 남아 있지 않다는 사실을 깨닫고, 자신들이 의지하던 도메인을 조용히 포기하게 됩니다.

해결책은 투명성입니다. 누구나 당신이 그 보고서를 수신했다는 사실을 알 수 있는 상황에서, 이를 묵과하고 넘어갈 수는 없습니다.

결론적으로

$16 billion in reported losses in a single year. Phishing up 180% since 2021. 130,000 malicious actors in one monitoring dataset alone. And the entire pipeline still starts the same way: a cheap domain, sold by a registrar that will never answer for its silence.

사기꾼은 단지 증상일 뿐입니다. 절망의 경제 속에서 대체 가능하고, 대체로 어리석은 한 노드에 불과하죠. 미소를 지으며 그의 암호화폐를 받아가고, 20건의 악용 신고를 무시한 뒤 공개적으로 거짓말을 한 등록 기관 — 바로 그것이 질병입니다. 그리고 ICANN의 허울뿐인 “규제”는 제 역할을 하지 않기로 결정한 면역 체계나 다름없습니다.

사기는 비용이 저렴하게 유지되는 한 계속해서 대규모로 자행될 것입니다. 그리고 등록 기관들이 침묵을 지키고, 그 침묵에 대해 아무런 대가도 치르지 않는 한, 사기의 비용은 계속 저렴하게 유지될 것입니다.

출처 및 참고 문헌

1. FBI 인터넷 범죄 신고 센터(IC3) — 2024년 인터넷 범죄 보고서 (859,532건의 민원; 166억 달러의 피해 신고; 민원 건수 기준 피싱/스푸핑이 1위).
2. 인터아일 컨설팅 그룹 — 2025년 피싱 현황 (약 200만 건의 피싱 공격; 2021년 대비 180% 증가; 등록기관/TLD 집중 현상; 37,000개 도메인을 대상으로 한 통행료 사기 사례).
3. ICANN — 2013년 등록기관 인증 협정, 제3.18조 (학대 신고 접수 창구; 학대 사건을 조사하고 이에 대응하기 위해 합리적이고 신속한 조치를 취할 의무).
4. ICANN 계약 준수 — Web Commerce Communications(WebNic)에 대한 정보 유출 공지, 2025년 7월 29일.

수치는 위의 1차 자료에서 인용한 것이며, 해석과 해설은 저자의 견해입니다.