메일함에 못 보던 스팸이 갑자기 쏟아지기 시작한다. 그럼 제일 먼저 드는 생각, 뻔하다. ‘어디서 내 진짜 주소가 샌 거지?’ 바로 이 물음 때문에 나온 게 이메일 별칭, 흔히 ‘이메일 마스킹’이라 불리는 서비스다. 애플의 ‘가려진 이메일(Hide My Email)’이 제일 유명한데, 문제는 이게 생각보다 헐겁게 뚫린다는 점. 오늘은 이메일 마스킹이 실제로 어떻게 굴러가는지, 어디서 새는지, 그리고 진짜로 주소를 지키려면 뭘 써야 하는지 하나씩 짚어본다.
이메일 별칭, 정확히 뭐길래
이메일 별칭은 진짜 주소 대신 쓰는 임시 가짜 주소다. 쇼핑몰이나 뉴스레터에 가입할 때 실제 지메일 주소 대신 무작위 문자열로 된 가짜 주소를 받고, 여기로 오는 메일은 자동으로 진짜 메일함에 전달되는 식. 아이디어 자체는 단순하다.
- 서비스마다 다른 별칭을 쓰면 어디서 유출됐는지 바로 추적된다
- 특정 별칭에 스팸이 몰리면 그 주소만 지우면 끝
- 진짜 주소는 어떤 업체에도 직접 노출되지 않는다
애플, 구글, 파이어폭스 다 비슷한 기능을 내놓고 있고, 아이폰 쓰는 사람이라면 ‘Sign in with Apple’ 쓰다가 한 번쯤은 이미 경험해봤을 기능이다.
애플 가려진 이메일, 작동 원리부터 보면
애플 가려진 이메일은 iCloud+ 구독자에게 주어지는 기능이다. 설정 앱에서 몇 번 탭만 하면 랜덤 주소가 뚝딱 만들어진다. 이 주소로 온 메일은 iCloud 메일이나 등록된 진짜 주소로 자동 전달되고, 답장을 보낼 때도 상대방은 여전히 가짜 주소만 본다는 게 애플 쪽 설명. 근데 문제는 여기서 시작된다. 답장 과정, 혹은 서드파티 메일 클라이언트를 거치는 과정에서 메일 헤더에 진짜 주소가 그대로 딸려 나가는 사례가 확인됐다는 보도가 나왔다. 겉보기엔 가려진 주소만 뜨는데, 메일 원본 소스나 특정 헤더 필드를 열어보면 실제 주소가 고스란히 드러나는 식이다. 이거 알면 좀 찜찜하다.
왜 완벽하게 안 숨겨질까
마스킹이 뚫리는 지점은 대체로 정해져 있다.
- 답장 경로 문제 — 별칭으로 받은 메일에 답장할 때 클라이언트가 진짜 주소를 Reply-To나 From 헤더에 그대로 넣는 경우
- 서드파티 앱 연동 — 애플 기본 메일 앱 말고 다른 클라이언트로 계정을 연동하면 전달 규칙이 제대로 안 먹히는 경우
- 계정 복구 흐름 — 비밀번호 재설정이나 본인 인증 과정에서 서비스가 진짜 주소를 요구하며 우회하는 경우
- 기업 도메인 필터 — 회사 메일 서버가 별칭 도메인을 스팸으로 걸러내면서 오히려 진짜 주소로 재발송을 유도하는 경우
결국 마스킹은 ‘주소를 숨기는 기능’이지 ‘완벽한 익명 통신 채널’은 아니다. 이 전제를 깔고 써야 뒤통수를 안 맞는다.
다른 마스킹 서비스랑 비교하면 어떨까
애플만 이 기능 파는 거 아니다. 각자 강점이 조금씩 다르다.
- 파이어폭스 릴레이 — 무료 플랜도 있고, 별칭 차단·재활성화가 직관적이다
- 심플로그인 — 오픈소스 기반이라 코드 검증이 가능하고, 자체 도메인 연결도 지원한다
- 덕덕고 이메일 프로텍션 — 추적 픽셀을 자동으로 없애주는 부가 기능이 있다
- 프로톤메일 별칭 — 프로톤 생태계 안에서 종단간 암호화까지 같이 챙길 수 있다
공통점 하나. 전달 과정에서 헤더가 새는 가능성을 완전히 막지는 못한다는 것. 어떤 서비스를 쓰든 답장 습관, 클라이언트 설정을 사용자가 직접 신경 써야 하는 건 똑같다.
진짜 주소, 지키려면 이렇게
마스킹 기능만 믿지 말고 몇 가지 습관을 같이 챙기는 게 낫다.
- 별칭으로 온 메일엔 되도록 답장 대신 별도 창구(고객센터 링크 등)를 쓴다
- 중요한 계정일수록 별칭에 2단계 인증까지 같이 걸어둔다
- 가입 후 메일 원본 소스를 한 번쯤 열어서 헤더에 진짜 주소가 노출되는지 직접 확인해본다
- 일회성 가입엔 별칭 대신 아예 임시 메일 서비스를 쓰는 것도 방법
결국 이메일 마스킹은 스팸 필터링, 유출 경로 추적엔 확실히 쓸모 있다. 다만 완전한 익명성을 보장하는 도구는 아니라는 것, 이거 하나는 꼭 기억해두자.
이것도 궁금하죠
Q. 가려진 이메일을 삭제하면 이미 받은 메일은 어떻게 되나?
A. 별칭을 비활성화하면 이후 도착하는 메일부터 차단되고, 이미 전달된 메일은 원래 받은함에 그대로 남는다.
Q. 무료로 쓸 수 있는 마스킹 서비스가 있나?
A. 파이어폭스 릴레이와 덕덕고 이메일 프로텍션은 기본 기능을 무료로 제공한다. 별칭 개수 제한 정도만 있는 셈.
Q. 회사 이메일도 마스킹 처리가 필요할까?
A. 업무용 계정은 대부분 도메인 자체가 노출을 전제로 하기 때문에, 마스킹보다는 피싱 필터링과 인증 강화가 먼저다.
이 내용은 와이어드(Wired) 보도를 참고했다.
테크가이드팀
Home-In-One 테크가이드팀은 IT 기기 비교, 소프트웨어 추천, 트러블슈팅 가이드 등 실용적인 기술 콘텐츠를 제작합니다. 초보자도 쉽게 따라할 수 있는 단계별 가이드를 지향합니다.