이메일 인증 기술인 DKIM은 메시지의 변조 여부를 확인하는 데 중점을 둔다. 하지만 DKIM 서명이 유효한 메시지는 어디서든 동일하게 인증되기 때문에, 공격자는 이미 서명된 이메일을 그대로 재전송해도 인증을 통과할 수 있다. 이를 DKIM 재전송 공격이라 하며, 공격자는 도메인의 평판을 악용해 원치 않는 수신자에게 이메일을 전달한다.
재전송 공격은 SPF 검증 실패에도 불구하고 DKIM이 통과되어 DMARC 정책이 적용되지 않는 점에서 기존 스푸핑 공격과 구분된다. 따라서 DMARC 정책을 p=reject로 설정해도 재전송 공격을 막을 수 없으며, 공격 여부를 판단하려면 메시지 단위의 증거가 필요하다.
공격 탐지와 대응을 위해서는 우선 DMARC 집계 보고서와 Amazon SES 이벤트 로그를 활용해 비정상적인 DKIM 통과 트래픽을 조기에 식별해야 한다. 또한, DKIM 키 회전 시 기존 키를 DNS에서 반드시 삭제해야 하며, 이를 통해 재전송 공격의 창을 닫을 수 있다. Amazon SES의 BYODKIM과 Easy DKIM 방식에 따른 키 관리 차이도 설명한다.
마지막으로, 재전송 공격 발생 시 합법적인 릴레이, 스푸핑, 재전송을 구분하는 방법과 단계별 대응 절차를 제시한다. 이에는 DMARC 정책 강화, SPF 설정 조정, 공격 IP 신고, 키 삭제 등이 포함된다. 이 글은 이메일 보안 관리자들이 재전송 공격을 이해하고 실질적인 대응책을 마련하는 데 중요한 가이드 역할을 한다.
출처: AWS Security
