기업용 메일보안 솔루션, 스팸차단과 견적 자릿수가 다른 이유

기업용 스팸차단 이메일 보안 솔루션 견적서 두 장을 나란히 놓고 보면 표시된 견적 금액에 의문이 생깁니다.

 

스팸차단 견적서 vs. 메일보안 견적서

 

사용자당 단가가 많게는 세 배 넘게 차이 나기 때문입니다. 그리고 한쪽 표지에는 스팸차단이라고 적혀 있고, 다른 쪽에는 메일보안이라고 적혀 있습니다. 이어서 기능표를 펼치면 항목이 거의 같습니다. 스팸 차단, 피싱 탐지, 사칭 방지, 첨부파일 검사.

비슷한 기능을 한다는데 비용이 이만큼 벌어지면 마음은 자연스럽게 저렴한 쪽으로 기웁니다. 그리고 결재 서류의 예산 항목에도 대개 스팸차단이라고 적어 올립니다.

이 결재는 대부분의 공격을 무엇으로 차단할지 정하는 중요한 결정입니다. 2026년 초 체크포인트가 발표한 조사에는 한국을 겨냥한 사이버 공격의 약 93%가 이메일을 통해 들어온다고 나옵니다. 공격이 들어오는 문이 사실상 하나라면, '스팸차단'이라고 적어 올리기 전에 기능표를 다시 꼼꼼히 들여다봐야 합니다.

그 표에 적힌 항목은 판정 결과의 이름이지 판정 방식이 아닙니다. 해시를 대조해서 걸러내도 「피싱 탐지」라고 적고, 문맥을 읽어서 걸러내도 「피싱 탐지」라고 적습니다. 같은 기능명이 표시되어 있지만 실제로 탐지되는 메일이 다릅니다.

리투인소프트웨어의 이메일 보안 시스템이 지난달 네 개 도메인, 사용자 2,500명 규모에서 484,272건을 처리했습니다. 이 한 달치 기록을 살펴보면 앞서 두 장의 견적서가 각각 실제로 무엇을 구매하는 문서인지 이해하게 됩니다.

---

1. 스팸차단과 메일보안, 같은 메일함에서 무엇을 세고 있나

한 달 동안 걸러낸 메일이 142,464건입니다. 이 숫자를 유형별로 열어보면 크게 두 개의 범위로 나뉩니다.

블랙리스트에 오른 발신지와 스팸성 광고가 102,999건, 걸러낸 메일의 72%입니다. 나머지 39,465건이 계정탈취, 사칭, 위험링크, 위험파일 그리고 랜섬웨어입니다.

수신 메일 100개 중 71개는 그대로 통과하고, 29개를 걸러냅니다. 걸러낸 29개 가운데 21개가 스팸성 광고, 8개가 공격성 메일입니다.

전체 메일: 484,272건 (100%)

• 통과한 메일: 341,808건 (70.58%)
• 스팸성 광고: 102,999건 (21.27%)
• 공격성 메일: 39,465건 (8.15%)

21개의 스팸성 광고는 스팸차단 제품이 처리합니다. 20년 넘게 다듬어온 영역이고 지금도 잘 걸러내기 때문에 이 21개는 스팸차단만으로도 충분합니다.

하지만 문제는 100개 중 8개인 공격성 메일입니다. 이 메일들은 스팸의 형태를 하고 있지 않아서, 스팸을 탐지하도록 만들어진 장비를 쉽게 빠져나갑니다. 2,500명 기준으로 하루 평균 1,316건입니다.

이는 하루도 빠짐없이 1,316번을 판정해야 한다는 의미이며 그중 놓친 한 건에서 회삿돈이 엉뚱한 계좌로 나가고 거래처 정보가 새는 사고가 발생합니다.

스팸성 광고와 공격성 메일은 같은 메일함에 섞여 들어옵니다. 그래서 "스팸차단이냐 메일보안이냐"는 애초에 잘못 세워진 질문입니다. 21%의 스팸성 광고와 8%의 공격성 메일을 한 장비에서 함께 처리하는 것이 정상이고, 손에 든 스팸차단 견적서는 저렴한 견적서가 아니라 매달 들어오는 8%의 공격성 메일로 엉뚱한 곳을 향하는 회삿돈과 새어 나가는 거래처 정보를 외면한 견적서입니다.

 

요즘 스팸차단 제품에도 실제 공격을 막아내는 기능이 있지 않나?

 

있습니다. 기능표에 적혀 있는 그대로입니다. 다만 그 기능명이 무엇을 근거로 한 판정인지는 적혀 있지 않습니다.

스팸차단 제품이 공격을 다루는 방식은 대조입니다.

이미 신고된 발신지 목록, 이미 수집된 악성 파일 해시, 이미 알려진 피싱 사이트 주소. 들어온 메일을 이 목록과 대조해 일치하면 차단합니다.

이 대조는 목록에 추가된 뒤부터 동작합니다. 누군가 먼저 피해를 입고, 신고되고, 수집되어야 목록에 한 줄 추가됩니다. 그 전에 도착한 메일은 탐지가 되지 않고 그대로 통과합니다.

 

업계에서 스피어 피싱을 강조했던 이유?

 

스피어 피싱 같은 표적 공격은 목록에 오를 기회 자체가 없습니다. 한 회사, 그것도 한 부서를 겨냥해 그때 한 번 만들어지고 그때 한 번 발송됩니다. 대량으로 발송되지 않으니 어디에도 샘플이 모이지 않고, 수집되지 않으니 목록에 추가될 일도 없습니다.

수신되는 메일의 8%를 자세히 들여다보아야 두 개의 견적서가 얼마나 차이 나는지 확실히 이해할 수 있습니다.

이제 시대가 크게 달라졌습니다. 이전까지는 스팸차단만 신경 쓰면 되었습니다. 8%에 속한 공격은 보안 장비를 한 대씩 더 들이는 식으로 일부 대응이 가능했기 때문입니다.

하지만 지금은 등록된 해시도 없고 실행 행위도 없는 단순해 보이는 메일 하나가 회삿돈을 엉뚱한 계좌로 보내고 거래처 정보를 유출합니다.

---

2. 패턴으로는 보이지 않는 메일

100개 중 8개인 공격성 메일에서 가장 많이 탐지된 유형은 계정탈취입니다. 네 개 도메인을 합쳐 한 달에 13,439건입니다.

협력사 직원의 메일 계정이 먼저 공격자의 손에 넘어갑니다. 공격자가 가져가는 것은 계정만이 아닙니다. 지난 몇 달간 오간 메일, 진행 중인 발주 건, 담당자끼리 주고받던 말투까지 함께 넘어갑니다.

그다음에 그 내용을 그대로 인용한 메일이 도착합니다. 발신 주소는 거래처의 주소가 아닙니다. 한 글자 다른 도메인이거나, 표시 이름만 담당자로 바꾼 주소입니다. 그런데 본문이 진짜라서 받는 사람은 주소를 확인하지 않습니다.

 

지난주에 말씀하신 3차 발주 건, 대금 계좌가 변경되었습니다.

 

이 문장에는 위조도 악성코드도 들어 있지 않습니다. 3차 발주가 실제로 진행 중이고, 그 이야기를 지난주에 실제로 나눴기 때문입니다.

해시 대조, 시그니처 매칭, 블랙리스트, 백신 엔진. 이 방식들이 이 메일을 놓치는 것은 성능이 부족해서가 아닙니다. 알려진 악성과 대조하는 방식인데, 이 메일에는 대조할 지표가 하나도 없습니다.

교육으로 막겠다는 판단도 여기서 무너집니다. 본문이 진짜 거래 내용이라 의심할 근거가 그 안에 없습니다. 남는 단서는 발신 주소 한 줄인데, 진행 중인 발주 건을 확인하는 담당자는 깊숙이 숨겨진 진짜 주소를 읽지 않습니다.

계정이 통째로 넘어가 협력사의 실제 서버에서 발송되는 경우도 있습니다. 주소도 서버도 진짜라 메일 단계에서 대조할 대상이 남지 않습니다. 메일 보안이 아니라 계정 보호에서 막아야 하는 문제입니다.

형태가 아니라 의도를 읽는 일이고, 의도는 기존 규칙으로 적어둘 수 없습니다.

최근 급부상한 AI 기술과 함께 메일보안 기술이 이 문제를 해결합니다. 메일을 주고 받는 흐름(스레드)에서 외부 접근을 탐지하고 의도를 규칙으로 등록합니다. 대조할 지표로 탐지하지 못하는 사각 영역이 해소됩니다.

---

3. 이미 무료로 되는 것에 돈을 내고 있지 않나

사내 메일을 마이크로소프트 365나 구글 워크스페이스에서 운영하고 있다면, 이미 적용되어 있는 보호 기능들이 있습니다.

마이크로소프트는 모든 요금제에 발신자 평판 필터링, 맬웨어 검사, 스팸 차단, 위조 방지를 기본 제공합니다. 이 기능들은 관리자가 해제할 수 없습니다. 수신함에 전달된 뒤에 악성으로 밝혀진 메일을 회수하는 기능도 있습니다.

숫자도 계약서에 명시합니다. 스팸 차단 효과 99% 이상, 정상 메일을 잘못 차단할 확률 25만 건에 1건 미만.

구글 워크스페이스는 도메인 유사 탐지, 직원 이름 사칭 탐지, 미인증 메일 보호를 전 에디션에 기본 제공합니다. 다만 기본 동작이 차단이 아니라 경고 표시라, 관리자가 설정에서 차단 수준을 높여야 합니다.

마이크로소프트가 어디서부터 비용을 청구하는지를 보면 경계가 드러납니다. 사용자·도메인 사칭 방지, 사서함 인텔리전스, 링크 재검사, 첨부파일 동적 분석. 이 넷은 기본 제공에서 제외되고 상위 요금제부터 포함됩니다. 위조 메일 탐지는 무료로 두고 사칭 메일 탐지만 유료로 옮겼습니다.

무료로 차단하는 위조 메일은 남의 명함을 통째로 도용한 메일입니다. 발신 주소에 거래처 주소를 그대로 적어 보냅니다. 거래처가 발신자 인증을 제대로 설정해 두었다면 이 메일은 인증 단계에서 차단됩니다. 그리고 사칭 메일은 진짜와 비슷하게 만든 명함입니다. 도메인에서 알파벳 하나만 바꿔 진짜와 거의 같은 주소를 만들거나, 거래처와 무관한 주소로 보내면서 이름만 거래처 담당자로 표시합니다.

협력사 계정을 탈취한 공격자는 명함만 새로 만듭니다. 명함은 가짜인데 거기 적힌 거래 내역은 진짜입니다. 두 회사의 사칭 메일 탐지가 겨냥하는 것도 여기까지입니다. 다만 그 판정은 회사 밖에서 이뤄집니다. 메일 본문이 마이크로소프트나 구글의 인프라로 넘어가야 판정을 받습니다. 거래 조건과 계좌번호가 적힌 본문입니다.

받을 수 있는 회사도 정해져 있습니다. 마이크로소프트 365나 구글 워크스페이스를 사용하는 곳만 해당합니다. 사내에 메일 서버를 두고 있거나 국산 그룹웨어를 운영하는 회사는 이 보호를 받을 방법이 없습니다.

비용을 지불하며 사용하고 있는 제품이 있다면, 기본 제공으로 이미 대응하는 메일이 아니라 대응하지 못하는 메일을 탐지하고 차단해야 합니다. 그리고 그 탐지가 메일 본문을 외부로 전송하지 않고 사내에서 끝나야 합니다.

▶ MAIL PRISM AI (리투인소프트웨어) 자세히 보기 → https://www.retoin.com/ko/products.html?utm_source=blog&utm_medium=post&utm_campaign=mail-security-solution&utm_content=mid-cta

제품소개 | 메일프리즘 AI

---

4. 인증서가 답해주지 않는 질문

제안서 첫 장에 CC 인증과 GS 인증이 나란히 표기되어 있으면 검토가 한결 편해집니다. 결재선에서도 이의 없이 통과합니다.

두 인증은 공공 조달의 입찰 참가 자격입니다. 없으면 입찰에 참여할 수 없습니다. 출입증이지 성적표가 아닙니다.

스팸차단 제품이 국가 규격에서 확인받는 항목은 아홉 가지입니다. 식별 및 인증, 보안관리, 데이터 보호, 자체보호, 업데이트 보호, 세션 관리, 감사기록, 암호 지원, 취약성 대응. 관리자 로그인이 설계대로 동작하는지, 로그가 남는지, 제품 자체가 위·변조를 견디는지를 확인합니다.

아홉 항목 어디에서도 탐지율은 측정하지 않습니다. 필터링에 가장 가까운 항목조차 확인하는 것은 하나입니다. 선언한 규칙대로 동작하는가. 그 규칙이 공격을 탐지하는지는 평가 대상 바깥입니다.

규격이 상정하는 판정 방식도 문서에 그대로 적혀 있습니다. 알려진 스팸 패턴 데이터베이스와 격리함. 규격이 다루는 위협은 수신자가 원하지 않는 광고성 메일입니다. 협력사 담당자를 사칭해 실제 거래 내용을 인용한 메일은 이 정의 바깥에 있습니다.

인증서에 적힌 제품 유형은 「스팸메일 차단」입니다. 스팸만 차단하는 제품과, 스팸 차단에 더해 계정탈취, 사칭, 소셜 엔지니어링 대응까지 갖춘 제품이 같은 유형으로 인증을 받습니다. 가격은 몇 배 차이가 나는데 인증서는 둘을 같은 이름으로 부릅니다.

등급도 마찬가지입니다. 「스팸메일 차단」 유형으로 인증받은 국내 제품은 전부 EAL2입니다. 보증등급 일곱 단계 중 두 번째이고, 시장에 출시된 제품이 모두 같은 등급입니다.

인증은 특정 버전에 발급되고, 그 버전은 변경할 수 없습니다. 변경하면 인증이 무효가 됩니다. 공격 기법은 분기마다 바뀌는데 인증받은 버전은 발급 시점에 멈춰 있습니다.

인증은 이 제품이 선언한 대로 만들어졌다는 사실을 확인합니다. 무엇을 선언했는지, 그리고 그것으로 오늘 아침에 들어온 메일을 판정할 수 있는지는 인증서에 적혀 있지 않습니다.

구매 담당자가 염두에 둔 제품은 계정탈취와 사칭까지 대응하는 쪽입니다. 예산 앞에서는 스팸만 차단하는 쪽을 고르게 됩니다. 인증서가 같으니 그렇게 고를 근거도 생깁니다.

그런데 도입한 뒤에는 차이가 드러나지 않습니다. 스팸이 줄어드니 제대로 작동하는 것처럼 보입니다. 8%가 그대로 들어오고 있다는 사실은 사고가 날 때까지 아무 신호도 내지 않습니다.

---

5. 3년 뒤에 왜 장비가 네 대로 늘어나 있나

 

3년 총소유비용 견적서를 확인하세요.
(라이선스, 유지보수, 서버, 메일 수신량 증가분 등.)

 

스팸차단 제품으로 시작한 회사가 밟는 경로는 대체로 비슷합니다.

도입하고 나면 스팸은 확실히 줄어듭니다. 그런데 계정탈취와 사칭 메일이 그대로 들어옵니다. 사고가 한 번 나면 APT 대응 장비를 따로 들입니다. 다음 해에 사칭 방지 솔루션을 추가하고, 그다음에 안티피싱 솔루션을 도입합니다.

3년을 놓고 총소유비용을 계산하면 처음부터 통합 제품을 도입한 쪽이 낮습니다. 장비가 넷으로 늘면서 관리 콘솔도 넷이 되고, 정책이 서로 충돌해 같은 메일이 두 번 차단되거나 어디에서도 차단되지 않습니다. 충돌을 찾아 조정하는 시간은 전부 담당자 몫입니다.

과금 구조도 그 차이를 키웁니다. 메일 건수나 처리량에 비례해 청구하는 구조라면 통제할 수 없는 변수에 예산이 묶입니다. 스팸이 급증한 달에는 청구 금액도 함께 올라갑니다. 사용자 수 기준으로 고정된 구조라면 메일이 두 배로 들어와도 비용은 그대로입니다.

견적을 받을 때 3년 총소유비용을 한 장에 담아 달라고 하십시오. 라이선스와 유지보수, 서버, 메일 수신량이 30% 늘었을 때의 증가분까지 포함해 달라고 하면 구조가 드러납니다.

---

6. 견적서를 받으면 이것을 물어보십시오

「지능형」과 「AI 기반」은 견적서에 적혀 있다는 사실만으로는 아무것도 증명하지 않습니다. 

어느 제품이든 적을 수 있는 말이기 때문입니다. 리투인소프트웨어도 제품 이름에 AI를 붙입니다. 이름이 아니라 다음 다섯 가지 답으로 확인하십시오.

• 무엇을 근거로 판정합니까. 패턴 대조입니까, 문맥 판정입니까
• 협력사 담당자를 사칭하면서 실제 거래 내용을 그대로 인용한 메일을 어떻게 판정합니까
• 그룹웨어 기본 기능이 이미 차단하는 메일 외에 무엇을 더 차단합니까
• 사내 메일 본문이 판정을 위해 외부로 전송됩니까
• 메일이 늘면 비용도 같이 늘어납니까

답이 돌아오지 않는 항목이 있다면 그 침묵이 답입니다.

AI 제품으로 범위를 좁혀 검토 중이라면 「기업용 인공지능 이메일 보안 제품 선택 기준」(새 창 열기)에서 판정 방식과 운영 구조를 더 자세히 다뤘습니다.

이메일은 회사에서 외부인이 마음대로 두드릴 수 있는 유일한 문입니다. 그 문을 지키는 데 들어갈 예산은 기능 개수가 아니라 다음 다섯 가지로 정합니다.

• 스팸이 아니라 공격을 판정하는가
• 본문이 진짜 거래 내용인 메일을 차단하는가
• 그룹웨어 기본 기능이 이미 차단하는 메일에 값을 매기고 있지 않은가
• 차단한 이유가 기록으로 남아 감사에 그대로 제출되는가
• 비용이 메일 건수가 아니라 사용자 수에 묶여 있는가

리투인소프트웨어의 MAIL PRISM AI는 스팸과 공격을 함께 처리합니다. 판정 근거는 패턴이 아니라 문맥입니다. 이 거래처와 그동안 주고받은 메일, 지금 오가는 스레드의 흐름, 본문이 요구하는 행동을 함께 읽습니다. 진행 중인 발주 건을 인용하면서 계좌 변경을 요구하는 메일을 차단합니다.

사내에 설치된 서버에서 자체 모델이 판정하므로 메일 본문이 외부로 전송되지 않습니다. 별도 GPU 없이 AMX를 지원하는 일반 서버 한 대로 1,000명까지 수용합니다. 관리자가 문장으로 정책을 지시하면 조건과 동작을 갖춘 규칙으로 등록되고, 그 규칙이 그대로 감사 자료가 됩니다.

비용은 사용자 수 기준이라 메일이 늘어도 그대로입니다.

▶ MAIL PRISM AI 자세히 보기 → https://www.retoin.com/ko/products.html?utm_source=blog&utm_medium=post&utm_campaign=mail-security-solution&utm_content=bottom-cta

제품소개 | 메일프리즘 AI