2026년 5월 새로운 이메일 보안 표준인 RFC 9989가 정식 발표되었습니다. 수년이 지난 지금도 이메일 표준이 새로 제정된다는 점이 놀랍지만, 이번 RFC에는 실무자를 위한 핵심 변경사항이 담겨 있습니다. 대규모 조직 내부에서 하위 도메인을 관리하는 시스템 관리자라면 자사의 DMARC 설정 방법과 도메인 경계 정의 방식을 반드시 점검하셔야 합니다.
본 글에서는 RFC 9989에서 도입된 새로운 '트리 워크(Tree Walk)' 알고리즘의 동작 원리와 도메인 관리자로서 이 탐지 과정을 제어하는 방법을 살펴봅니다.
PSL 방식 탈피와 DNS 직접 조회
기존 DMARC 방식은 공공 등록 기관과 개별 조직 간의 도메인 경계를 구분하기 위해 외부 PSL(Public Suffix List) 파일에 의존했다.
RFC 9989 표준은 기존 RFC 7489와 RFC 9091을 대체하며, 권한 있는 DNS 서버를 상대로 직접 실행되는 인밴드(In-band) 탐지 알고리즘을 수립했다. 이로써 외부 저장소에 수정 요청을 제출하지 않고도 도메인 경계 식별 권한을 자사 DNS에서 직접 제어할 수 있게 되었다.
동적 트리 워크 알고리즘 동작 원리
RFC 9989에서 정의하는 DNS 레코드 탐지 알고리즘은 발신 도메인에서 시작하여 가장 왼쪽 라벨을 잘라내며 상위 도메인으로 올라간다. RFC 9989 제4.10절에 따르면, 도메인 라벨이 8개 이상일 경우 수신 서버는 라벨이 7개가 남을 때까지 잘라내며 전체 DNS 조회를 최대 8회로 제한한다.
RFC 9989 제4.10절: 라벨이 8개 이상이어도 DNS 조회가 8회를 초과하지 않는다.
이러한 엄격한 한계 설정은 DNS 조회 루프 발생을 방지한다.
또한 탐지 과정에서 단일 노드가 중복된 DMARC 레코드를 반환하면 수신 서버는 해당 응답을 유효하지 않은 것으로 간주하고 해당 노드의 모든 레코드를 무효화한다.
현재 RFC 9990 표준에서는 이메일 수신 기관이 정책 탐지를 psl 방식으로 수행했는지 아니면 treewalk 방식으로 수행했는지 명시적으로 기록하는 리포팅 규격도 함께 제공한다.
트리 워크 중단 제어 방법
_dmarc 레코드 내부에 psd 태그를 추가하면 트리 워크 탐지를 명시적으로 중단시킬 수 있다. 이는 규격 제4.10절에 명시되어 있다.
psd=n 옵션을 설정하면 해당 하위 도메인이 독립적인 조직 경계로 작동함을 나타낸다. 이를 통해 하위 조직에 즉각적인 DMARC 정책 주권을 부여할 수 있다.
국내 도메인 체계와 DMARC 설정 방법
한국에서는 co.kr, go.kr와 같은 2단계 공공도메인 체계를 주로 사용한다. 계열사나 자회사가 sub.company.co.kr 형태로 도메인을 운영할 때, 기존에는 조직 도메인을 지정하려면 외부 목록 파일과의 동기화 과정에 의존해야 했다.
RFC 9989 표준 환경에서는 _dmarc.sub.company.co.kr에 v=DMARC1; psd=n; 레코드를 직접 입력하여 수신 메일 서버에 트리 워크 중단을 알릴 수 있다. 수신 서버는 sub.company.co.kr 자체를 독자적인 조직 경계로 인식한다.
도메인 사칭 대응 및 침해사고 신고 절차
자사 도메인 경계를 악용한 도메인 사칭이나 이메일 피싱 공격이 발견된 경우 다음 절차에 따라 대응하십시오.
- 한국인터넷진흥원 인터넷침해대응센터(KrCERT/CC)에 침해사고를 신고하십시오. 긴급 침해사고 지원이 필요한 경우 국번 없이 118 상담센터로 문의하시기 바랍니다.
- 경찰청 사이버범죄 신고시스템(ECRM)에 형사 고발을 접수하십시오. 경찰 수사 포털을 통해 피싱 및 도메인 도용 범죄를 직접 신고할 수 있습니다.
운영 중이신 하위 도메인에 명시적인 DNS 정책 경계 설정이 필요한지 확인해 보셨나요?
도메인 인증 점검 및 모의해킹 진단 서비스에 대해 자세히 알아보시려면 Panke 웹사이트를 방문하시거나 contact@pankeit.com으로 문의해 주십시오.
참고 자료
- RFC Editor — RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (2026년 5월)
- RFC Editor — RFC 9990: DMARC Reporting Schema (2026년 5월)
- KRNIC — 한국인터넷정보센터 도메인이름 관리세칙 (2026년 9월)
Instagram