문의 양식에 스팸이 몰리는 이유와 단순한 불편을 넘어서는 문제

문의 양식이 있는 웹사이트라면 거의 모두 같은 일을 겪습니다. 공개한 지 며칠 지나지 않아 누구도 실제로 작성하지 않은 메시지가 도착하기 시작합니다. SEO 서비스 제안, 의심스러운 쇼핑몰 링크, 웹사이트에서 사용한 적 없는 언어의 글입니다. 대부분 그냥 삭제하지만, 이는 문제를 과소평가하는 것입니다. 양식 스팸은 받은편지함의 잡음에 그치지 않습니다. 자신의 웹사이트를 자신에게 불리하게 작동하는 도구로 만들 수 있습니다.

양식 스팸은 누가 보냅니까?

• 크롤링 봇. 자동화된 프로그램은 입력 필드, 텍스트 영역, 제출 버튼 등 양식처럼 보이는 것을 찾아 웹을 훑고 내용을 채웁니다. 양식이 존재한다는 사실만으로도 찾아옵니다.
• 저렴한 스크립트와 완성형 도구. 양식 대량 제출 소프트웨어는 쉽게 구할 수 있습니다. 한 사람이 코드 한 줄 쓰지 않고도 하루에 수천 개의 메시지를 보낼 수 있습니다.
• SEO 링크 스팸. 많은 메시지는 받은편지함, 댓글 영역, 제출 내용을 공개하는 페이지 등 어딘가에 링크를 남기기 위해서만 존재합니다. 그 링크가 검색엔진에 등록되거나 누군가 클릭하기를 기대합니다.
• 피싱과 악성코드. 일부 메시지는 청구서, 불만, 저작권 통지 또는 “웹사이트에 문제가 있습니다”라는 알림을 흉내 내고 가짜 로그인 페이지나 파일로 연결합니다. 자신의 양식을 통해 도착하므로 일반 이메일보다 더 신뢰할 만해 보이는 경우가 많습니다.

양식이 스팸을 발송하게 될 때

많은 양식은 방문자가 입력한 주소로 자동 확인 메시지를 보냅니다. “메시지를 보내주셔서 감사합니다. 작성하신 내용의 사본입니다.” 실제 방문자에게는 친절한 기능이지만 스팸 발송자에게는 기회입니다. 봇은 이메일 필드에 다른 사람의 주소를 입력하고 메시지에 광고나 피싱 링크를 넣습니다. 그러면 서버는 그 내용을 자신의 도메인 이름으로 웹사이트를 방문한 적도 없는 사람에게 성실하게 발송합니다.

메일 제공업체는 수신 메일을 판단할 때 발송 도메인과 서버의 평판도 고려합니다. 스팸 신고, 스팸 트랩에 도착한 메일, 갑작스러운 발송량 증가가 모두 불리하게 작용합니다. 곤란한 점은 SPF, DKIM 및 DMARC도 여기서는 도움이 되지 않는다는 것입니다. 이 장치들은 메시지가 실제로 해당 도메인에서 왔는지 확인하는데, 이 경우에는 실제로 그렇습니다. 인증은 출처를 증명할 뿐 수신자가 원하는 내용인지는 증명하지 않습니다. 평판이 떨어지면 정상적인 업무 이메일도 영향을 받습니다. 견적, 청구서 및 고객 답변이 스팸 폴더로 들어가기 시작하며 회복에는 오랜 시간이 걸릴 수 있습니다.

스팸이 전혀 없어도 피해를 주는 관련 실수가 있습니다. 일부 양식은 방문자의 주소를 발신자(“From”)로 설정해 알림을 보냅니다. 서버에는 방문자 도메인을 대신해 메일을 보낼 권한이 없으므로 SPF와 DKIM이 From 주소와 일치하지 않습니다. 해당 도메인이 엄격한 DMARC 정책을 공개하면 메시지가 거부되거나 스팸으로 분류되며 실제 문의도 예외가 아닙니다. 더 올바른 방식은 자신의 도메인 주소로 보내고 방문자 주소를 Reply-To에 넣는 것입니다.

일상적으로 발생하는 피해

• 시간 낭비. 누군가는 읽고 분류하고 삭제해야 합니다. 하루 몇 분이라도 일 년 동안 쌓이면 여러 근무일에 해당합니다.
• 실제 문의의 유실. 받은편지함이 대부분 쓰레기라면 사람들은 대충 훑거나 강력한 필터를 설정합니다. 진짜 견적 요청 하나가 나머지와 함께 삭제되거나 일주일 늦게 답변을 받습니다.
• 팀에 도달하는 피싱. 자신의 문의 양식을 통해 온 링크는 출처를 모르는 이메일의 링크보다 쉽게 클릭하게 됩니다. 가짜 로그인 페이지에 비밀번호를 한 번 입력하는 피해가 모든 스팸을 합친 것보다 클 수 있습니다.
• 데이터 오염. 제출 내용이 CRM, 뉴스레터 목록 또는 티켓 시스템으로 들어가면 가짜 항목이 데이터를 왜곡하고 추가 자동 이메일을 유발할 수 있습니다.

실제로 “보호됨”이 의미하는 것

하나의 스위치로 해결할 수는 없습니다. 여러 계층이 문제의 일부를 각각 잡아내고, 한 계층이 실패해도 문이 완전히 열리지 않을 때 양식은 잘 보호되어 있다고 할 수 있습니다.

양식을 변경하지 않고도 현재 보호 상태를 확인할 수 있습니다. formexposed.com의 무료 점검은 공개 페이지를 수동적인 방식으로 방문하며 아무것도 제출하지 않습니다. 각 양식에 CAPTCHA, 허니팟, CSRF 토큰 및 시간 함정이 존재하고 유효하게 설정된 것으로 보이는지 보여줍니다. 스캐너는 GDPR 및 접근성 점검도 수행하며 자세한 결과는 전체 보고서에 포함됩니다. 결과는 보호됨, 부분적으로 보호됨, 노출됨의 세 단계 중 하나입니다. 어떤 계층이 빠져 있는지 결정하기에 좋은 출발점입니다.