Spamhaus 블랙리스트 해제: IP·도메인 확인과 삭제

Spamhaus 등록 여부 확인하는 방법

Spamhaus에 내 IP 주소나 도메인이 등록됐는지는 Spamhaus가 직접 운영하는 "IP and Domain Reputation Checker"(check.spamhaus.org)에서 조회하면 됩니다. 어느 리스트에 있는지, 이유는 무엇인지, 그 리스트의 해제 방법이 무엇인지 알려 줍니다. 이 체커는 2021년 3월에 예전의 "Blocklist Removal Center"를 대체했으므로, 지금도 "removal center"로 안내하는 글이 있다면 그 안내가 가리키는 곳은 이 페이지입니다.

Spamhaus는 수신 측에서 워낙 많이 쓰기 때문에 다른 블랙리스트보다 영향이 큽니다. SpamAssassin과 Rspamd의 기본 규칙은 모두 ZEN 리스트를 조회하고, Outlook.com의 550 OU-001 거부 메시지는 해제를 위해 Spamhaus로 안내하며, Yahoo의 553/554 오류에는 "Your IP is listed by Spamhaus"라고 나올 수 있습니다. 반송 메일에 Spamhaus가 언급돼 있다면, 그 메일에 적힌 IP 주소를 조회하세요.

다른 블랙리스트 체커는 Spamhaus로 연결되는 링크를 걸거나 Spamhaus의 DNS 영역을 직접 조회합니다. 후자는 올바른 리졸버에서 물을 때만 제대로 작동합니다(리졸버 테스트 참고).

Spamhaus 리스트 설명: SBL, CSS, XBL, PBL, DBL, ZEN

Spamhaus는 여러 리스트를 운영하며, 어떻게 해제하느냐는 어느 리스트에 올랐느냐에 따라 완전히 달라집니다. 그중 IP 주소를 다루는 4개는 ZEN(zen.spamhaus.org)으로 합쳐져 있어, 메일 서버는 이 영역 하나만 조회하면 됩니다. 다섯 번째인 DBL은 IP가 아니라 도메인 이름을 다룹니다.

ZEN은 SBL + CSS + XBL + PBL을 한 번의 조회로 합친 것이라, 한 번 조회에 여러 코드가 동시에 돌아올 수 있습니다. Spamhaus의 테스트 주소 127.0.0.2는 일부러 세 리스트에 올라 있어서 127.0.0.2, 127.0.0.4, 127.0.0.10이 함께 돌아옵니다. Spamhaus는 애플리케이션이 반환 코드를 파싱하라고 요구하므로, 첫 번째 코드만 보지 말고 응답의 코드를 모두 읽으세요.

Spamhaus가 내 IP를 차단하는 이유

Spamhaus는 정확한 등록 조건을 공개하지 않지만, 각 리스트 페이지에는 어떤 행동이 그 리스트에 오르게 하는지 설명돼 있습니다.

• XBL: 주소 뒤의 기기가 감염됐거나 악용되고 있습니다. PC의 악성코드, 내 회선을 남의 프록시로 쓰는 "무료 VPN" 앱, 무차별 대입 공격에 가담한 기기, 탈취한 비밀번호로 메일을 중계하려는 무언가 등입니다.
• CSS: 메일 서버 자체가 나쁜 메일을 보냅니다. 동의 없는 발송, 허술한 목록 관리, 해킹된 메일함이나 CMS의 스팸 발송, HELO 이름과 역방향 DNS가 맞지 않는 서버 등입니다.
• SBL: Spamhaus가 그 주소를 스팸이나 악용 활동과 연결 지었습니다. 공유 호스팅이나 저가 VPS에서는 이전 사용자나 같은 서버의 이웃 때문일 수 있고, 호스팅 업체가 악용을 방치하면 Spamhaus가 등록을 업체 자체 인프라나 더 넓은 대역으로 확대할 수 있습니다.
• PBL: 주소가 주거용 등 일반 사용자용입니다. ISP(또는 Spamhaus)가 메일을 직접 전달하면 안 되는 대역으로 표시한 것입니다. Outlook.com의 550 DY-001 거부도 같은 정책으로, 동적 IP 주소에서 직접 오는 메일은 대체로 받지 않는다는 뜻입니다.
• DBL: 메일에 들어 있는 도메인이 등록됐습니다. 내 도메인이나 메일 속 링크가 스팸, 피싱, 악성코드 배포에 쓰였습니다. 해킹된 정상 도메인도 전용 코드(127.0.1.102 ~ 127.0.1.106)로 등록됩니다.

무엇이든 바꾸기 전에 체커가 알려 주는 이유를 먼저 읽으세요. 감염된 노트북을 고치는 일과 PBL에 오른 가정 회선을 다루는 일은 전혀 다릅니다.

Spamhaus 해제(디리스트) 방법

먼저 고치고 나서 요청하세요. Spamhaus는 문제를 다시 탐지하면 바로 재등록하고, 직접 해제할 수 있는 횟수에도 제한이 있어서, 수정 전에 요청한 해제는 낭비가 됩니다.

1. 등록된 주소 찾기반송 메일이나 메일 서버 로그에서 IP 주소를 확인합니다. 192.168.x.x 같은 내부 주소가 아니라, 메일이 나간 공인 주소여야 합니다.
2. check.spamhaus.org에서 조회리스트(SBL, CSS, XBL, PBL, DBL), 등록 이유, 참조 번호가 있으면 함께 적어 둡니다.
3. 원인 수정감염된 기기 정리, 릴레이 차단, 역방향 DNS와 HELO 수정, 원인이 된 대량 발송 중단 등입니다.
4. 해제 요청 또는 제공업체에 요청XBL, CSS, PBL, DBL 등록은 체커의 해제 기능을 사용합니다. SBL 등록은 ISP나 호스팅 업체의 abuse 팀에 티켓을 엽니다.
5. 다시 확인Spamhaus의 영역은 몇 분 안에 갱신되지만, 일부 네트워크는 최대 하루까지 늦어질 수 있습니다. 해제 요청을 바로 처리할 수 없으면 체커가 대신 티켓을 만들어 줍니다.

SBL: ISP 또는 호스팅 업체가 해제를 요청해야 합니다

SBL 등록은 본인이 직접 해제할 수 없습니다. Spamhaus의 SBL 페이지에 따르면, 해제 요청은 악용 문제를 해결한 뒤 그 주소를 책임지는 ISP가 보내야 합니다. 제공업체의 abuse 팀에 티켓을 열고, 체커에 나온 SBL 참조 번호와 조치한 내용을 적으세요.

SBL 등록이 남아 있는 동안에는 그 주소의 다른 리스트 해제도 Spamhaus가 처리하지 않습니다. 공유 호스팅에서 등록이 내 문제와 무관하다면, 대역 전체의 등록이 풀리기를 기다리는 것보다 호스팅 업체에 깨끗한 IP 주소를 요청하는 편이 대개 더 빠릅니다.

XBL: 감염된 기기를 정리한 뒤 직접 해제

XBL 등록은 check.spamhaus.org에서 직접 해제할 수 있고, 악성 트래픽이 멈춘 뒤 얼마 지나면 저절로 만료되기도 합니다. 이 리스트는 변동이 큽니다. Spamhaus에 따르면 평균 약 200만 건이 등록돼 있고, 24시간마다 약 65만 건의 새 탐지가 이뤄집니다.

원인을 찾기 전에 해제하면 오래가지 않습니다. 감염된 기기가 다음에 접속하는 순간 주소는 다시 등록됩니다. Spamhaus의 XBL 페이지는 다음을 권합니다.

• 그 주소 뒤의 모든 기기를 업데이트하고, 각 기기에서 악성코드 전체 검사를 실행합니다.
• 알아보지 못하는 브라우저 확장 프로그램과 "무료 VPN" 앱을 삭제합니다.
• 공유기 펌웨어를 업데이트하고, 필요 없는 외부 접속은 끄고, 필요한 포트만 엽니다.
• 즉시 악용을 막으려면, 실제 메일 서버를 제외한 모든 장비에 대해 공유기나 방화벽에서 아웃바운드 25번 포트를 차단합니다. 막히는 것은 스팸이지 감염이 아닙니다. 어느 기기가 계속 시도하는지는 netstat이나 TCPView로 알 수 있습니다.

모든 네트워크가 같은 속도로 해제를 반영하는 것은 아니므로, 반영되지 않은 해제로 티켓을 열기 전에 24시간을 기다려 달라고 Spamhaus는 안내합니다.

CSS: 메일 서버를 고친 뒤 해제 요청

CSS 등록은 자동으로 이뤄지고 기간도 짧습니다. 보통 마지막 탐지 후 3일이면 만료되며, 만성적인 악용의 경우에는 더 길어질 수 있습니다. 원인을 고친 뒤 체커에서 해제를 요청할 수 있지만, 직접 해제할 수 있는 횟수는 제한적이고 문제가 계속되면 바로 재등록됩니다.

설정만으로도 CSS에 오를 수 있습니다. Spamhaus의 CSS 페이지는 HELO와 역방향 DNS를 짚습니다. PTR 레코드가 있어야 하고 서버가 쓰는 호스트 이름을 가리켜야 하며, 정방향 조회 결과가 HELO 이름과 일치해야 하고, HELO/EHLO는 localhost.localdomain이나 mail이 아니라 정규화된 도메인 이름(FQDN)이어야 합니다. 메일 서버 앞의 로드 밸런서 때문에 공인 주소가 감염된 것처럼 보일 수도 있습니다.

PBL: 처벌이 아니니 발송 방식을 고치세요

PBL은 동적·고정을 가리지 않고 "최종 수신지로 직접 메일을 보내서는 안 되는" 일반 사용자 주소 대역을 등록합니다. 이런 대역의 상당수는 ISP가 직접 추가한 것이고, Spamhaus도 이 주소들이 "반드시 나쁜 것은 아니다"라고 말합니다. 가정용 광대역 주소가 PBL에 있는 것은 정상입니다.

PBL 등록 때문에 메일이 반송된다면, 해제보다 발송 방식을 바꾸는 것이 보통의 해법입니다.

• 수신자의 서버로 직접 전달하지 말고, ISP나 메일 제공업체의 발신 서버(스마트호스트)를 거쳐 보냅니다.
• SMTP 인증을 켜고 25번이 아니라 제출 포트 587 또는 465를 사용합니다.
• 그 주소에서 실제로 메일 서버를 운영하고 ISP 정책도 허용하는 경우에만 check.spamhaus.org에서 제외를 신청합니다. 단일 IP 제외는 1년 동안 유지되고(ISP는 더 짧게 설정할 수 있음), 그 주소에서 스팸이 확인되면 취소됩니다.

DBL: 도메인 해제

DBL은 도메인만 등록하고 IP 주소는 등록하지 않습니다. 체커에서 도메인을 조회하고 안내를 따르세요. Spamhaus의 DBL 페이지는 DBL 해제를 처리하는 유일한 곳이라고 밝힙니다. 승인된 요청은 보통 몇 분 안에 반영되고, 일부 시스템은 최대 24시간이 걸리며, 하루가 지나도 남아 있다면 Spamhaus에 문의해 볼 만합니다. 해당 활동이 멈추면 등록은 만료되기도 합니다.

사이트가 해킹됐다면(예: 피싱 페이지를 띄운 WordPress) 먼저 정리하고 모든 비밀번호를 바꾸세요. 같은 콘텐츠를 계속 제공하는 도메인은 다시 등록됩니다. 양식을 제출한다고 해제가 보장되지는 않으며, 해제를 지나치게 반복해 요청하면 Spamhaus가 차단할 수 있습니다.

재등록되지 않으려면 먼저 고쳐야 할 것

디리스트는 증상만 치료합니다. 다음은 주소가 다시 리스트에 오르게 만드는 원인으로, 확인할 순서대로 대략 나열했습니다.

위에서 본 Spamhaus의 등록 사유 중에 SPF나 DMARC 레코드 누락은 없으므로, 레코드를 게시한다고 등록이 풀리지는 않습니다. 다만 수신 측은 메일마다 이를 확인합니다. Google의 발신자 가이드라인은 모든 발신자에게 SPF 또는 DKIM과 유효한 정방향·역방향 DNS를, Gmail에 하루 5,000통 이상 보내는 발신자에게는 SPF, DKIM, DMARC를 요구하며, 공유 IP를 쓰는 발신자에게는 그 IP가 어떤 블록리스트에도 없는지 확인하라고 안내합니다.

새 메일 제공업체를 설정하나요? Titan Email 가이드에서 MX, SPF, DKIM 레코드 설정을 단계별로 볼 수 있습니다.

8.8.8.8과 1.1.1.1로 Spamhaus를 확인할 수 없는 이유(테스트 결과)

많은 블랙리스트 체커, 스크립트, 심지어 메일 서버까지 대형 공개 리졸버를 거쳐 Spamhaus에 질의합니다. 공개 리졸버는 누가 묻는지 감춰 버리기 때문에 Spamhaus는 이를 차단합니다. Spamhaus는 2018년 글에서, 아마도 가장 인기 있는 공개 리졸버 하나가 하루에 약 20억 건, 전체 쿼리의 약 20%를 보낸다고 밝혔습니다. 그래서 공개 리졸버에는 데이터 대신 오류 코드나 빈 "미등록" 응답이 돌아갑니다.

DNS Robot의 테스트, 2026년 10월 26일(인도에서): 7개 리졸버 주소에 Spamhaus가 공개한 테스트 항목을 각각 5번씩 질의했습니다. 2.0.0.127.zen.spamhaus.org는 테스트 주소 127.0.0.2를 거꾸로 쓴 것으로, 127.0.0.2, 127.0.0.4, 127.0.0.10이 돌아와야 합니다. dbltest.com.dbl.spamhaus.org는 127.0.1.2가 돌아와야 합니다. 둘 다 Spamhaus가 공개한 테스트 항목이며, 실제 누군가의 주소나 도메인이 아닙니다.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

위험한 쪽은 Google의 응답입니다. NXDOMAIN은 깨끗한 주소가 받는 응답과 똑같습니다. 그래서 8.8.8.8을 거쳐 묻는 체커나 스팸 필터는 Spamhaus에 실제로 등록된 주소를 "미등록"이라고 보고합니다. Spamhaus 스스로도 이를 경고합니다. Google Public DNS를 거치면 "in most cases" 미등록 응답이 돌아온다는 것입니다. 응답에는 단서도 있습니다. 함께 오는 SOA 레코드가 서버 이름을 need.to.know.only.로 적어 둡니다.

Cloudflare의 응답은 적어도 솔직합니다. 127.255.255.254는 Spamhaus의 오류 범위에 속하며, 1.1.1.1을 거치면 미등록 테스트 주소인 1.0.0.127에도 이 값이 돌아왔습니다. 위험은 반대편에 있습니다. Spamhaus에 따르면 일부 메일 서버는 127.255.255.x 코드를 보면 모든 메일을 잘못 거부합니다. Quad9와 OpenDNS는 저희 회선에서 정상 응답을 줬지만 예고 없이 바뀔 수 있습니다. Spamhaus는 공개 DNS 서비스로 질의하지 말라고 경고할 때 Google, Cloudflare와 함께 이 둘도 거론합니다. 공정 이용 약관은 내 네트워크의 리졸버, 또는 EDNS Client Subnet을 지원하는 공개 리졸버에서의 질의를 요구합니다.

Spamhaus 반환 코드: 각 응답의 의미

Spamhaus는 각 영역이 반환하는 모든 코드를 문서화해 두었습니다. 127.255.255.0/24 안의 값은 모두 오류이며 등록이 아닙니다. 127.0.0.0/8 밖의 응답은 DNS가 변조되고 있다는 뜻이고(예: 모르는 이름을 검색 페이지로 돌리는 ISP), Spamhaus는 이를 무시하라고 합니다.

Spamhaus를 올바르게 조회하는 방법: 자체 리졸버 또는 DQS

Spamhaus는 자체 DNS 서버에서 질의하라고 권장합니다. 메일 서버 위나 옆에 Unbound, BIND, Knot Resolver 같은 재귀 리졸버를 두고, 자신을 식별할 수 있는 올바른 호스트 이름을 설정하세요. Spamhaus의 DNSBL 공정 이용 정책은 무료 공개 서버를 중소 규모 조직의 비상업적 이용으로 제한하며, 대규모 공유 호스팅 환경의 질의는 받지 않습니다.

그것이 어렵다면 무료 Data Query Service(DQS) 키를 등록하세요. Spamhaus는 질의량이 적은 비상업적 사용자와 개인에게 키를 제공합니다. 상업적 사용자, ISP, 상용 스팸 필터, 트래픽이 더 많은 곳은 유료 구독이 필요합니다. 키를 쓰면 질의가 Spamhaus의 .net 영역으로 옮겨 가며, 공개 리졸버를 계속 쓰고 싶다면 이 방법을 쓰라고 Spamhaus의 이전 가이드는 설명합니다.

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net