요약

  • 스팸 신고가 서버를 관리하지 않는 회사의 창구에 멈추면 신고자는 다시 담당자를 찾아야 할 수 있다. prop-171은 주소 제공자가 실제 운영자까지 이어지는 전달 경로를 책임지도록 제안한다.
  • APNIC 62에서는 합의에 이르지 못했다. 제안은 메일링 리스트 논의로 돌아갔으며, 기존의 연락처 관리와 신고 응답 의무는 그대로다.

스팸이나 피싱을 알리는 신고는 조사할 수 있는 팀에 도착해야 의미가 있다. 수신 확인 메일이 왔더라도, 정작 서버의 기록을 볼 수 있는 담당자가 신고를 모른다면 확인 작업은 시작되지 않는다. 문제를 알려 준 사람이 다시 사람을 찾아 연락해야 하는 상황이다.

아시아·태평양 지역의 인터넷 주소 등록을 맡는 APNIC이 그 조사를 대신해 주는 것도 아니다. APNIC은 보안 업무의 범위를 설명하면서 개별 피싱·스팸 공격을 막거나 회원사의 시스템 취약점을 고치는 역할은 맡지 않는다고 밝힌다. 신고 안내가 Whois에 등록된 네트워크 연락처로 이어지는 이유도 실제 운영자에게 닿아야 하기 때문이다.

주소를 제공한 업체가 메일을 받고 고객사가 실제 서버를 운영하는 경우를 보자. 업체에서 인계가 멈춘다면 신고자는 다시 연락처를 찾거나 답을 재촉해야 하고, 로그를 확인할 수 있는 팀은 아직 문제를 모를 수 있다. 특정 피해 사례가 아니라 이런 업무 분담에서 생길 수 있는 위험이다. 보안 문제를 알리는 사람이 담당자 찾는 일까지 떠안게 되는 셈이다.

Tsung-Yi Yu와 Alban Kwan이 작성한 prop-171 초안은 바로 이 수고를 누가 책임질지 묻는다. 상위 주소 보유자가 조사와 처리를 맡을 하위 당사자까지 신고를 전달할 경로를 확보하자는 제안이다. 도착을 확인하는 일과 신고가 옳다고 판단하는 일은 물론 별개다.

방법을 하나로 정하지는 않는다. 고객이 등록 연락처를 직접 운영하거나, 상위 업체의 통합 창구가 신고를 전달하거나, 다른 실효성 있는 방식을 쓸 수 있다. 모든 하위 고객의 직원 연락처를 인터넷에 공개할 필요도 없다.

기존 규정에도 응답 의무는 있다

이 논의를 이해하려면 기존 제도를 지나치게 단순화하지 않아야 한다. 현행 APNIC-127의 5.3.3절은 연락처를 모니터링하고, 문제 해결을 목적으로 신고에 신속히 응답하도록 요구한다. 단지 이메일이 반송되지 않으면 되는 규정이 아니다. 이미 시행된 prop-125의 기록은 연락처 검증 제도의 경위를 보여 준다.

연락처 검증을 통과했다는 사실과 개별 신고가 담당 팀에 전달됐다는 사실은 별개의 증거다. 전자는 후자를 대신하지 못한다. prop-171의 쟁점은 모든 응답 책임을 새로 만드는 데 있지 않다. 조직 사이를 넘어가는 신고의 경로를 어떤 의무로 구체화할지가 문제다.

사무국의 영향 평가도 바로 그 구체성을 요구한다. 실효성 있는 경로를 어떻게 정의하고 확인할 것인지, 작은 하위 네트워크마다 연락처가 달라질 때 복잡성을 어떻게 감당할 것인지, 사무국에 얼마나 많은 일이 추가될 것인지가 남아 있다. 고객별 IRT 연락처나 상위 업체가 관리하는 IRT로 이미 대응할 수 있는 경우도 있다.

초안은 새로운 감사 체계를 만들지 않고, 검증 주기를 바꾸지 않으며, APNIC에 새로운 조사·집행 권한을 주지 않는다고 선을 긋는다. 그렇다고 이행 여부를 확인하는 일이 저절로 간단해지지는 않는다. 사무국은 책임을 강조하는 문구가 새로운 집행 기대를 낳을 수 있다고 지적한다. 시행 방식과 시점도 아직 정할 수 없다.

문제의 규모 역시 확정되지 않았다. 제안자들은 일부 연락처 문제에서 하위 주소 사용이 상당한 비중을 차지한다고 설명하지만, 검증 가능한 건수나 조사 기간, 방법을 제시하지 않는다. 제안 배경으로 읽을 수는 있어도 지역 전체의 신고 실패율로 인용할 수는 없다.

합의되지 않은 것은 해결 방식이다

2026년 9월 뭄바이에서 열린 APNIC 62의 공식 결과는 prop-171의 합의 실패와 메일링 리스트 복귀를 기록한다. 현재 제안 목록도 같은 상태다. 개별 페이지에 남은 회의 전 표시는 그 이후의 채택을 뜻하지 않는다.

9월 25일 회의 정리에는 신고 처리를 개선하자는 취지에 대한 지지와 함께 책임, 부담, 구현 방식에 대한 이견이 담겼다. 합의가 없었다고 해서 운영상의 문제가 거짓으로 판명된 것은 아니다. 반대로 좋은 취지에 공감했다고 해서 규칙이 시행되는 것도 아니다. 정책 절차에는 합의 이후에도 최종 의견 수렴과 Executive Council의 승인 등이 남는다.

다음 초안의 성패는 신고를 받은 창구와 조사 책임을 맡은 팀 사이를 얼마나 명확하게 설명하느냐에 달려 있다. 전달 기록은 전달을 입증해야 한다. 신고 내용이 사실인지, 어떤 조치가 정당한지까지 대신 판정하는 기록이 되어서는 안 된다.