SH Consulting 조사: 미국 정부 관련 도메인 43개, 만료·오타·용도 변경 도메인을 DNS에서 참조
SH Consulting은 미국 정부 관련 도메인 25,964개를 조사해 43개가 만료·오타·용도 변경된 외부 도메인을 DNS 기록에서 참조한다고 보고했습니다. 리빙스턴 카운티의 오타 난 SPF 참조는 최소 32,066개의 고유 IPv4 주소를 발신 허용 목록에 넣었고, 저장된 DNS 응답을 기준으로 한 검사에서 모든 주소가 SPF와 DMARC를 통과했습니다. 이 수치는 설정상 허용된 주소 수이며, 실제 공격에 쓰인 IP 수와 발신자 수는 별개의 지표입니다.
SH Consulting은 2026년 11월 5일 공개한 Alex Shakhov 작성 조사 글에서 미국 정부 관련 도메인 25,964개를 살핀 결과를 밝혔습니다. 공개 자료에서 모은 대상 가운데 .gov 도메인은 16,984개, 다른 최상위 도메인을 쓰는 도메인은 8,980개였습니다. 2026년 6월과 10월 두 차례 스캔하고 과거 DNS 기록으로 변화를 추적한 결과, 정부 도메인 43개가 만료·오타·용도 변경된 외부 도메인을 DNS 기록에서 참조한다고 보고했습니다.
대표적인 이메일 발신 허용 사례는 미시간주 리빙스턴 카운티입니다. milivcounty.gov의 SPF 기록에는 Amazon SES의 amazonses.com 대신 철자가 틀린 amzonses.com이 포함돼 있습니다. SPF는 도메인이 메일을 보낼 수 있도록 허용한 IP 주소와 도메인을 DNS에 게시하는 기록입니다. include 항목은 외부 도메인의 SPF 기록을 참조하므로, 카운티가 IP 주소를 직접 열거하지 않아도 외부 목록의 주소가 카운티 도메인의 발신 허용 범위에 들어갑니다.
SH Consulting에 따르면 오타 도메인으로 이어지는 SPF 연결은 8개 기록을 거쳤고, 여기에는 개별 IP 주소나 주소 범위를 적은 항목이 760개 있었습니다. 이 항목들이 허용한 주소는 최소 32,066개의 고유 IPv4 주소였습니다. SH Consulting은 저장해 둔 DNS 응답을 기준으로 각 주소를 평가했고, 모든 주소에서 SPF와 DMARC가 통과했다고 밝혔습니다. 이 수치는 설정상 허용된 주소의 수입니다. 실제 공격에 쓰인 IP 수와 발신자 수는 이 값과 별개의 지표입니다.
카운티는 자체 SPF 기록을 관리하지만, include가 가리키는 외부 도메인의 운영자는 허용 목록을 바꿀 수 있습니다. 그 변경은 카운티 조직과 별개로 이뤄질 수 있습니다. 허용된 IP를 사용할 수 있는 주체가 카운티 주소를 발신자로 내세워 메일을 보내면 SPF가 통과할 수 있습니다. 이 경로는 카운티 메일 계정에 로그인하는 대신 발신 IP가 허용 목록에 들어 있는지에 따라 작동합니다.
보고서는 오타 도메인에 연결된 SPF 인프라가 2021년부터 회전해 왔고, 적어도 2026년 3월 이후에는 include 대상이 며칠마다 바뀌었다고 밝혔습니다. SH Consulting은 여러 IP에 발신을 분산하고 차단 목록에 오른 주소를 새 주소로 바꾸는 스노슈 운영의 징후로 이 변화를 해석했습니다. 오타 도메인과 연결된 IP 대부분은 Spamhaus, URIBL, Abusix 등 차단 목록에 올라 있었습니다.
43개 사례에서 문제 된 DNS 참조는 역할이 서로 다릅니다. NS 기록은 도메인의 DNS 응답을 제공할 네임서버를 지정합니다. 네임서버 이름이 만료되거나 오타가 난 도메인을 가리키고 다른 주체가 그 이름을 등록하면, 그 주체가 해당 정부 도메인의 DNS 응답을 제공할 수 있습니다. MX 기록은 수신 메일 서버를 지정하고, DMARC 보고 주소는 메일 인증 결과 보고서를 받을 곳을 지정합니다.
실제 악용 사례로 보고서는 아이다호주 헤이번 시의 옛 도메인 heyburnidaho.org를 들었습니다. 시는 더는 이 도메인을 소유하지 않지만, 해당 주소는 다른 정부 웹사이트와 경찰 페이스북 페이지에 시의 웹사이트로 남아 있습니다. 조사 당시 도메인은 공격자가 관리하는 coremalware.com의 네임서버를 가리켰고, 웹사이트에는 카지노 로그인·가입·입금 페이지가 제공됐습니다. 공격자는 이 도메인으로 메일을 보내고 받을 수 있도록 설정해 시를 사칭하거나 옛 주소로 온 메일을 수집할 수 있는 상태였습니다.
MX 오타 도메인 가운데 일부도 수신 메일을 처리하도록 설정돼 있었습니다. 다만 SH Consulting은 기관 메일을 실제로 가로채 읽은 사례를 확인하지 못했다고 밝혔습니다. 여러 MX 서버를 함께 두면 한 기록이 오타 나도 다른 서버가 메일을 받을 수 있어, 외부에서 장애가 드러나지 않을 수 있다고 설명했습니다.
DMARC는 인증에 실패한 메일을 수신 서버가 어떻게 처리할지 정하고, 인증 결과 보고서를 받을 주소도 지정합니다. 이 보고서는 XML 형식으로 발신 IP, IP별 메일 수, 인증 결과와 적용된 정책 등을 담을 수 있어 메일 인프라 정보를 드러냅니다. SH Consulting은 정부 기관 11곳의 보고서를 받도록 지정된 미등록 엔드포인트 8개를 찾았다고 보고했습니다.
SH Consulting은 6월에 DMARC 조사 결과를 CISA에 전달했고, 10월에는 추가 조사 결과를 CISA와 MS-ISAC에 알렸다고 밝혔습니다. 또 SPF 의존 도메인 3개, MX 도메인 6개, DMARC 보고 도메인 8개 등 외부 도메인 17개를 방어 목적으로 등록해 당시 보유하고 있다고 설명했습니다.