스팸 문제가 커지기 전에 통계를 읽는 방법

스팸 필터링은 정상적으로 작동하는 동안에는 아무도 살펴보지 않는 이메일 기능입니다. 메일은 도착하고 스팸은 대부분 차단되므로, 중요한 메시지가 스팸 폴더에 들어가거나 고객이 답장을 받지 못했다고 말하기 전까지는 모든 과정이 눈에 띄지 않습니다. 그때가 되면 추세를 읽는 대신 사고를 해결해야 합니다.

스팸 통계는 이 상황을 바꿉니다. 도메인별로 최근 삼십 일을 다루며, 대부분의 서비스에서는 확인할 수조차 없는 질문에 답합니다. 내 도메인에서 실제로 무엇이 필터링되고 있으며, 필터는 올바르게 판단하고 있는가?

스팸 통계가 실제로 보여 주는 내용

각 도메인에 대해 해당 기간의 요약과 일별 시계열을 제공하므로 전체적인 형태와 변화를 모두 볼 수 있습니다.

마지막 세 항목이 특히 중요하지만 이를 공개하는 곳은 거의 없습니다. 차단한 스팸의 양만 알려 주는 통계는 마케팅 자료입니다. 필터가 얼마나 자주 잘못 판단했는지 알려 주는 통계는 진단 자료입니다.

문제를 나타내는 수치

대부분의 경우 이 수치들은 안정적으로 유지되므로 신경 쓰지 않아도 됩니다. 다만 세 가지 변화에는 대응할 필요가 있습니다.

오탐이 증가하는 경우. 사용자가 스팸 폴더에서 정상 메일을 자주 복구한다면 필터가 해당 트래픽에 맞게 조정되지 않은 것입니다. 신뢰하는 공급업체나 뉴스레터가 스팸과 비슷한 특성을 공유하는 경우가 많습니다. 이는 이메일에서 가장 큰 비용을 일으키면서도 신고될 가능성은 가장 낮은 문제입니다. 견적서를 받지 못한 사람은 불만을 제기해야 한다는 사실조차 알지 못하기 때문입니다.

한 도메인의 수신량이 급증하는 경우. 평소 트래픽이 적은 도메인에서 갑자기 수신량이 늘었다면 대개 주소가 수집되어 목록에 추가되었다는 뜻입니다. 긴급한 문제는 아니지만 한동안 잡음이 늘어나는 전조가 되는 경우가 많으며, catch-all 주소라면 양이 크게 증가할 수 있습니다.

감지량은 그대로인데 사용자 신고 스팸이 증가하는 경우. 스팸이 필터를 통과해 사용자가 직접 정리하고 있다는 뜻입니다. 필터가 눈에 띄게 실패하는 대신 조용히 실패하고 있으며, 오류로 드러나지 않는 비용을 모든 사용자의 주의력이 감당하고 있습니다.

도메인별 통계가 중요한 이유

계정 전체를 합산한 스팸 통계는 꼭 확인해야 할 내용을 가립니다.

도메인마다 트래픽이 다릅니다. 회사 웹사이트에 공개된 info@ 주소와 여섯 명이 사용하는 내부 도메인에는 전혀 다른 종류의 메일이 들어옵니다. 둘을 평균 내면 어느 쪽도 제대로 설명하지 못하는 수치가 됩니다. 스팸 비율 40%가 한쪽에서는 위험 신호이고 다른 쪽에서는 지극히 정상일 수 있습니다.

고객의 도메인을 관리한다면 이것이 유용한 답변과 막연한 추측의 차이를 만듭니다. 고객이 메시지가 도착하지 않은 이유를 물을 때, 도메인별 스팸 통계를 이용하면 고객과 무관한 플랫폼 전체 평균으로 추론할 필요 없이 해당 기간의 고객 도메인만 살펴볼 수 있습니다.

심볼 읽기

상위 심볼 목록은 필터가 판단에 사용한 근거를 보여 줍니다. 각 심볼은 인증 결과, 평판 검사, 콘텐츠 휴리스틱 등 작동한 규칙을 나타내며, 횟수는 해당 규칙이 얼마나 자주 작동했는지를 뜻합니다. 이름은 기반 필터링 엔진인 Rspamd에서 가져옵니다.

모든 심볼을 배울 필요는 없습니다. 인증 심볼이 대부분을 차지하는지 확인하는 것은 유용합니다. 이는 보통 스팸 자체가 아니라 발신자 측 문제를 가리키기 때문입니다. SPF 또는 DMARC alignment에 실패한 메일은 정상 메일이어도 스팸 점수가 높아집니다. 이때 고쳐야 할 것은 필터가 아니라 발신 도메인의 레코드입니다. 이 부분은 SPF 설정과 DMARC 구성 안내서에서 설명합니다.

알아 둘 만한 가장 흔한 오탐 원인은 자체 인증 설정에 문제가 있는 공급업체입니다. 스팸 통계에서는 알고 있는 발신자에 대해 콘텐츠와 무관한 규칙이 작동하는 형태로 나타납니다.

통계에 따라 대응하기

대응 방법은 의도적으로 많지 않습니다. 대부분의 스팸 문제는 설정을 바꾸기보다 필터를 학습시켜 해결하기 때문입니다.

스팸 신고와 오탐 복구는 모두 필터 학습에 반영되며, 이 주 동안 꾸준히 실행하면 어떤 설정을 바꾸는 것보다 수치가 더 크게 달라집니다. 특정 발신자가 문제이고 기다리고 싶지 않다면 해당 발신자를 차단할 수 있습니다. 정상 메일이지만 원하지 않는 경우에는 스팸으로 표시하는 대신 필터 규칙으로 별도 보관하는 편이 낫습니다. 스팸으로 표시하면 다른 사용자가 원하는 발신자까지 신뢰하지 않도록 시스템을 학습시키기 때문입니다. 서버 측 규칙은 메일 필터의 작동 방식에서 설명하며 Pro 요금제부터 사용할 수 있습니다.

대개 문제가 되는 행동은 이런 조치를 전혀 하지 않고 필터가 나쁘다고 결론 내리는 것입니다. 스팸 통계는 직감이 아니라 정보를 바탕으로 판단할 수 있도록 존재합니다.

정상적인 스팸 비율의 형태

모든 도메인에 적용되는 수치는 없습니다. 특정 수치를 제시하는 서비스는 귀하의 도메인이 아니라 자사 평균을 설명하는 것입니다. 자체 스팸 통계를 충분히 오래 살펴 평소의 형태를 파악해야 비정상적인 변화를 알아볼 수 있습니다.

웹사이트, 명함 또는 회사 차량에 표시된 공개 주소가 있는 도메인은 수신 트래픽의 대부분이 스팸으로 분류되는 경우가 흔합니다. 그런 곳에서는 절반을 넘는 비율도 특별한 일이 아닙니다. 아는 사람들끼리 내부 연락에만 사용하는 도메인에는 스팸이 거의 없어야 하며, 이런 도메인에 갑자기 스팸이 나타난다면 무시하지 말고 살펴봐야 합니다.

모든 도메인에서 영에 가깝게 유지해야 하는 수치는 복구된 오탐입니다. 통과한 스팸은 성가시지만 정상 메일이 스팸으로 분류되면 비용이 발생하며, 두 문제의 영향은 같지 않습니다. 모든 스팸을 잡도록 조정한 필터는 몇 건을 통과시키는 필터보다 대체로 더 큰 비용을 초래합니다.

가장 중요한 것은 변화의 방향입니다. 육 개월 동안 안정적이던 비율이 갑자기 변했다면 무언가 일어난 것입니다. 스팸 통계를 이용하면 대개 그 시점을 하루 단위로 좁힐 수 있습니다.

고객이 문제를 제기할 때 활용하기

다른 사람의 도메인을 관리한다면 이때 기능의 가치가 드러납니다. "이메일을 받지 못했습니다"라는 대화에는 원래 판단할 근거가 없기 때문입니다.

확인 절차는 짧고 스팸 통계만으로 전체 과정을 진행할 수 있습니다. 고객이 말한 기간의 해당 도메인을 살펴보십시오. 수신량이 평소와 같고 거부된 메시지가 없다면 메일이 아예 도착하지 않았을 가능성이 큽니다. 그러면 조사 대상을 귀하의 시스템이 아닌 발신자 측으로 옮길 수 있습니다. 스팸으로 감지되었다면 그 사실을 알리고 메시지를 복구한 뒤 심볼을 근거로 필터가 그렇게 판단한 이유를 설명할 수 있습니다.

이렇게 하면 방어적인 대화를 몇 분 안에 사실에 근거한 대화로 바꿀 수 있습니다. 반대의 실수도 막아 줍니다. 필터가 원인이라고 단정하고 정상적으로 작동하던 시스템을 조정하느라 오후 내내 시간을 쓰는 일을 피할 수 있습니다.

이를 가능하게 하는 것이 도메인별 스팸 통계입니다. 계정 전체 평균은 고객의 도메인에 관해 아무것도 알려 주지 않으며, 고객도 그 사실을 알고 있습니다.

거부와 분류의 차이

두 수치는 비슷해 보이지만 의미가 전혀 다르며, 이를 혼동하면 잘못된 결론에 이르게 됩니다.

스팸 감지는 메일을 수신한 뒤 스팸으로 분류했다는 뜻입니다. 메시지가 존재하고 폴더에 있으며 복구할 수 있습니다. 스팸 거부는 SMTP 통신 중 메일을 거절해 처음부터 수신하지 않았다는 뜻입니다. 귀하의 시스템 어디에도 존재하지 않으므로 복구할 대상도 없습니다.

거부는 알려진 악성 출처, 형식이 잘못된 메시지, 인증 실패가 매우 심해 수신하는 것이 위험한 발신자 등 시스템이 가장 확신하는 사례에 적용됩니다. 거부된 메시지는 발신 측에 오류를 발생시키므로, 정상 발신자가 잘못 차단되더라도 메일이 도착했다고 생각하지 않고 즉시 실패 사실을 알 수 있다는 장점이 있습니다.

잘못된 거부를 걱정하는 사람에게 알려 줄 핵심은 이것입니다. 잘못 거부된 메시지는 발신자에게 실패 사실을 알립니다. 잘못 분류된 메시지는 아무에게도 아무것도 알리지 않습니다. 따라서 거부 건수가 아니라 복구된 오탐 건수를 주시해야 합니다.

통계가 보여 주지 못하는 것

스팸 통계는 귀하의 도메인으로 들어오는 메일만 설명하므로 답할 수 없는 질문이 두 가지 있습니다.

통계가 이 질문들까지 다룬다고 생각하면 엉뚱한 곳을 살펴보기 쉬우므로 두 가지를 명확히 알아 둘 필요가 있습니다.

스팸 통계로는 외부에서 귀하의 발신 메일을 어떻게 처리하는지 알 수 없습니다. 귀하의 메시지가 다른 사람의 받은편지함에 도착하는지는 DMARC 보고서와 반송 데이터로 확인해야 하는 별도의 문제이며, DMARC 보고서 읽기에서 설명합니다.

또한 개별 메시지의 상황을 설명하지도 않습니다. 요약 정보는 해당 기간의 건수, 비율, 가장 자주 작동한 규칙을 집계한 결과입니다. 특정 메시지가 사라진 이유는 통계가 아니라 그 메시지의 헤더에서 찾아야 하며, 통계는 해당 도메인에 비슷한 형태의 트래픽이 있었는지만 알려 줍니다.

변화를 알아차리고 누군가 질문할 때 근거를 제시하는 본래 용도로 사용하면 빠르게 답을 얻을 수 있습니다. 이메일 한 건을 진단하는 용도로 사용하면 만족스러운 답을 얻기 어렵습니다.

합리적인 점검 방식

매주 이를 확인할 사람은 없으며, 그럴 필요도 없어야 합니다.

한 달에 한 번 확인하되 눈에 잘 띄는 차단 건수보다 오탐부터 살펴보십시오. 내부 도메인보다 고객 트래픽을 처리하는 도메인을 먼저 확인하십시오. 오탐이 영이고 사용자 신고 스팸이 안정적이라면 탭을 닫아도 됩니다. 시스템이 정상적으로 작동하고 있다는 뜻입니다.

또 한 번 확인해야 할 때는 누군가 메시지가 사라졌다고 말한 직후입니다. 전송되지 않았다고 단정하기 전에 살펴보십시오. 스팸 통계는 도메인이 해당 트래픽을 보았는지 일 분 안에 알려 주므로 논쟁을 사실로 바꿔 줍니다.