누가 microsoftonline.com이 진짜라고 확신할 수 있나 싶음. Microsoft의 도메인 관리가 너무 엉망이라, 내부에서도 자기들이 가진 도메인 자산 전체 목록을 완전히 갖고 있지 않아도 놀랍지 않음
회사들이 스팸을 구별하려면 도메인을 확인하라고 insist하면서도, 정작 공식적으로 메일을 보내는 모든 도메인 목록을 공개하지 못한다는 게 아이러니함

Microsoft가 office.com처럼 읽기 쉽고 기억하기 좋은 도메인에서 m365.cloud.microsoft라는 이상한 과시용 도메인으로 옮긴 것 같은 얘기인가 봄

약간 다른 얘기지만, 인도에서 보험 갱신 시기마다 하루에 은행 사기 전화가 최소 12통은 왔음. 은행들이 공식 전화번호를 공개하고 직원들이 공식 번호만 쓰도록 의무화했으면 했는데, 최근 규제기관이 실제로 그렇게 해서 은행은 고객 연락에 1600 번호만 써야 함
그 뒤로 은행 사기 전화가 0건으로 줄었음

게다가 이메일 안의 링크를 클릭 추적 도메인으로 감싸는데, 그 도메인이 회사와 전혀 무관한 Mailgun 같은 곳일 때가 있음
그래서 클릭하려는 링크를 직접 확인해도, 합법적인 메일인데도 사기성 도메인으로 가는 것처럼 보임

처음 떠오른 걸 조회해 봤더니 internalmicrosoft.com과 microsoftinternal.com이 아직 등록 가능했음. 이렇게 악용 여지가 크다면 공식 도메인 묶음을 훨씬 더 엄격하게 유지하고 싶을 것 같음

반쯤 관련된 얘기로, Microsoft 보안은 정말 형편없음
지난주 내내 Microsoft Authenticator가 여기저기서 로그인 시도가 있다고 알림을 보냈는데, 로그인 기록 페이지는 완전히 비어 있었음. 내 로그인조차 안 나옴
비밀번호가 유출된 거라고 생각할 수도 있지만 아님. 앱을 켜 둔 기본 로그인 흐름이 이메일 + Authenticator이고, 비밀번호가 필요 없음. 더 황당한 건 이 옵션을 앱에서 바꿀 수 없다는 것임
Microsoft는 그 계정이 아직 존재하는 유일한 이유가 Minecraft를 인수했기 때문이라는 걸 깨닫고 내 삶을 복잡하게 만들지 말아야 함

Microsoft에는 누군가 계정 로그인을 너무 많이 실패하면 계정이 잠기고, 정상 비밀번호인데도 비밀번호 재설정을 요구하는 멋진 기능도 있음
비밀번호를 바꾼 뒤에도 휴대폰에서 이메일에 로그인할 수 없어서 그냥 포기했음. 어차피 그 이메일은 몇 가지 용도로만 씀

이건 이전 세션 쿠키가 브라우저에 있거나 IP가 바뀌지 않았을 때만 그런 거 아닌가 싶었음
수정: 새 IP와 Firefox 사생활 보호 창으로 직접 해 보니 맞았음. 이메일을 입력하고 앱 알림을 선택할 수 있음

나도 같은 일을 겪었음. Authenticator가 “로그인됨”이라며 확인을 요구하는데, 보안 페이지에서 확인해 보면 기록이 전혀 없음
처음엔 겁이 나서 찾을 수 있는 보안 설정을 전부 뒤졌지만, 마치 아무 일도 없었던 것처럼 보였음
두 번째부터는 그냥 무시했지만 불안하긴 함. 기본 Authenticator 흐름에서는 실수로 올바른 숫자를 눌러버릴 가능성도 있음

몇 달 전부터 나도 같은 현상이 생겼고, 이메일 주소를 바꾸자 알림이 멈췄음
실제로는 이전과 같은 사서함을 가리키는 별칭만 바꾼 것임

같은 회사가 SMS 2단계 인증을 중단하고 자기들의 형편없는 Authenticator 앱을 쓰게 만들려고 함

우리 회사 도메인은 m으로 시작함. 최근 여러 사람이 rn으로 시작하는 도메인의 피싱 메일에 당했는데, Outlook 글꼴에서는 둘이 거의 똑같아 보임

예전에 Booking에서 호텔을 예약했는데, Booking 사이트 도메인 이메일과 DM을 통해 호텔이 보낸 것처럼 보이는 피싱 시도를 받았음
당시 살펴봤을 때는 호텔 계정이 털린 문제라기보다, Booking 쪽의 어떤 메시지/이메일 엔드포인트가 비슷한 방식으로 악용되는 것처럼 보였음
같은 유형인지는 모르겠지만 흥미롭고, 특히 Microsoft에 이미 보고됐는데도 아무 조치가 없었다는 점이 눈에 띔

내가 본 건 모두 호텔 이메일이나 Booking 계정이 침해된 경우였음
투숙객 신분으로 호텔 시스템에서 악성코드나 원격 접근 도구를 제거하도록 “도와준” 적이 열 번도 넘음

회사들이 백만 개의 서로 다른 도메인을 만들지 말고 internal.microsoft.com 같은 하위 도메인을 쓰는 게 명백한 해법이라고 생각하는데, 여기서조차 아무도 그 얘기를 꺼내지 않을 만큼 현실과 멀어 보여서 씁쓸함

심지어 .microsoft도 갖고 있는데 왜 굳이 그러는지 모르겠음

맞는 말임
예전에 독일 정부기관에서 우리 회사에 데이터 내보내기를 요청하는 편지를 보내고, findrive-ni.de에 업로드하라고 한 적이 있음
실제로는 합법이었지만, Niedersachsen 주 도메인의 하위 도메인도 아니고 공식 사이트 어디에서도 참조되지 않았음

매일 Google 서버에서 오는 스팸 메일을 20~30통쯤 받고 있음. 재미 삼아 별도 SPAM 폴더로 분류 중임
누구에게 연락해야 하고, Google이 멈추게 하려면 어떻게 해야 하며, 서비스 악용은 어디에 신고해야 하는지 찾을 수 없음. 서비스 전체가 사실상 거대한 “꺼져, 연락받기 싫다”처럼 되어 있음
나도 글을 하나 공개해서 여기 HN에 올라가게 해야 하나 싶음. 그래야 Google 누군가가 들여다볼 동력이 생길지도 모름

나도 한 번 그 토끼굴에 빠졌음. 찾을 수 있는 모든 악용 신고 채널을 시도했음 network-abuse@는 Google Cloud 악용 신고 양식으로 보내고, 거기서는 “보고서에 언급된 IP가 Google Cloud에 호스팅되어 있지 않아 조치할 수 없다”고 함
Gmail 악용 신고는 답장조차 안 함. 결국 Rspamd에서 Firebase 관련 DKIM 식별자를 차단했음

Meta에도 Business Manager 기능 중 하나에 비슷한 버그가 있었거나 아직 있음. 공격자가 초기 본문 텍스트를 완전히 제어할 수 있어서 굉장히 그럴듯하게 보임
이걸 신고하려고 해 봤지만 완전히 헛수고였음. 버그 바운티 스팸이 너무 많아서 보안 제출 절차가 가끔 들어오는 진짜 문제까지 걸러내는 듯함

이런 메일을 너무 오래 받아서, 널리 퍼진 문제가 아니라 나만 표적이 된 건가 생각하기 시작했음. Meta가 아무 조치도 안 하는 것처럼 보였기 때문임
메일은 실제로 noreply@business.facebook.com에서 오고, 아래 같은 텍스트가 들어 있음. 어느 부분이 Meta 템플릿이고 어느 부분이 사용자가 입력한 텍스트를 창의적으로 악용한 건지 해독해 보라는 수준임 Your Meta's Page may be at risk due to unusual activity... Your Page is under restriction review Contact Meta Support: metafanpageviolate@gmail.com ...

PayPal에서도 비슷한 일이 벌어지는 건가? PayPal 도메인에서 온 것처럼 보이는 이메일을 받고 있는데, 명백히 사기임

내가 본 PayPal 사례는 대체로 큰 금액의 송금 요청을 보내고, 사유를 쓰는 자유 입력 필드에 “이게 사기라고 생각되면 [실제로는 사기 번호]로 전화하라”는 가짜 문구를 넣는 방식이었음

최근 Google MX 서버에서 오는 스팸을 잔뜩 받다가, X-Google-Group-Id 헤더가 있는 모든 메일을 차단하니 멈췄음
어떻게 가능한지는 모르겠지만, 내용은 100% 스패머가 제어했고 Google 템플릿은 없었음

예전에 @akamai.com에서 온 Coinbase 사기 메일을 받은 적이 있음
Akamai가 인수한 회사 중 하나의 SPF 설정이 잘못돼 있었던 것 같음