이메일 주소로 알 수 있는 사용자 정보 (KO)

새로운 사용자가 가입 시 이메일을 입력합니다. 겉보기에는 단순한 문자열 같지만, 그렇지 않습니다.

문서를 요청하거나 얼굴 대조를 실행하기 전에, 이메일 주소는 이미 여러 정보를 알려줍니다. 수신함이 실제인지, 도메인이 메일을 수신하는지, 제공자가 일회용 서비스인지, 그리고 해당 주소가 데이터 유출 목록에 나타났는지 여부 등입니다. 이 모든 것은 사용자가 아무것도 할 필요 없이, 문자열을 입력하는 순간 얻을 수 있는 정보입니다.

이 게시물에서는 이러한 신호의 의미, 사기 방지팀이 이를 활용하는 방법, 그리고 Didit 이메일 인증이 이러한 정보를 모든 온보딩 흐름의 초기에 적용할 수 있는 0.03달러짜리 검사로 패키징하는 방법을 설명합니다.

주요 내용

• 이메일 주소는 다차원적인 사기 신호입니다. 전달 가능성, 제공자 유형, 도메인 평판, 유출 노출은 각각 다른 위험 패턴을 포착합니다.
• 일회용 이메일은 단 한 번의 KYC 확인 비용을 지불하기 전에 플래그를 지정할 수 있습니다.
• 유출 노출은 자격 증명 스터핑 및 계정 탈취 위험과 관련이 있습니다. 가입 시 유출 횟수가 많은 것은 신규 기업 이메일 주소와는 다른 프로필입니다.
• 이메일 인텔리전스는 마찰이 적은 필터입니다. 합법적인 사용자는 거의 인지하지 못하는 반면, 온보딩을 악용하려는 사용자는 저렴한 옵션이 줄어듭니다.
• Didit 이메일 인증은 OTP 전송과 위험 신호(BREACHED_EMAIL, DISPOSABLE_EMAIL, UNDELIVERABLE_EMAIL, INVALID_EMAIL, DUPLICATED_EMAIL)를 0.03달러의 단일 호출로 실행하며, 각 경고에 대해 승인, 검토 또는 거부를 구성할 수 있습니다.

이메일 주소에 실제로 포함된 것

@를 제거하면 로컬 파트와 도메인, 두 부분으로 나뉩니다. 둘 다 신호를 전달합니다.

로컬 파트는 자동화를 나타낼 수 있습니다. 순차적인 문자열, 키보드 패턴 또는 긴 무작위 영숫자 문자열은 실제 사용자에게는 이례적입니다. 대량으로 계정을 생성하는 사기 조직은 종종 로컬 파트를 프로그래밍 방식으로 생성합니다.

도메인은 수신함이 실제이고 도달 가능한지(MX 레코드 상태 및 DNS 구성이 중요) 알려줍니다. 이전 메일 기록이 전혀 없는 3개월 전에 등록된 도메인은 gmail.com 또는 acme-corp.com과는 매우 다르게 보입니다.

제공자는 의도를 알려줍니다. 일회용 이메일 제공업체(몇 분 이내에 만료되는 일회용 주소를 생성하도록 구축된 서비스)는 모든 곳에서 비정상적입니다. 수천 개의 업체가 있으며, 사기 도구가 발전함에 따라 목록은 계속 늘어납니다.

이메일 주소의 네 가지 사기 신호

1. 전달 가능성 및 MX 유효성

도메인에 유효한 MX 레코드가 없거나, 구문이 잘못되었거나, 사서함이 반송되는 것으로 알려져 있으면 해당 주소는 전달할 수 없습니다. OTP가 전송되지 않으므로 진행할 필요가 없습니다. 이를 조기에 감지하면 전체 인증 비용을 절약하고 연락할 수 없는 사용자를 온보딩하는 것을 방지할 수 있습니다.

2. 일회용 제공자 감지

일회용 이메일 서비스는 단 하나의 목적, 즉 추적 가능한 신원을 남기지 않고 가입을 완료하기 위해 존재합니다. 진정으로 계정을 원하는 사용자는 이를 사용할 이유가 없습니다. 추천 프로그램을 남용하거나, 무료 체험판을 악용하거나, 금지된 계정을 순환하는 사용자는 이를 사용합니다. 일회용 제공자를 감지하려면 알려진 서비스의 최신 데이터베이스를 유지해야 합니다. Didit은 모든 검사의 위험 평가의 일부로 이를 유지합니다.

3. 유출 노출

데이터베이스가 유출되면 노출된 기록에는 이메일 주소와 비밀번호 또는 개인 데이터가 포함됩니다. 여러 알려진 유출에 나타나는 주소는 위험 프로필을 변경합니다. 오래되었고 널리 사용되며 자격 증명이 유통될 수 있습니다. 계정 탈취 위험의 경우, 가입 시 유출 횟수가 많은 것은 더 자세히 살펴볼 가치가 있습니다. 합성 계정 사기의 경우, 그 반대가 적용되는 경우가 많습니다. 사기를 위해 생성된 일회용 주소는 유출 이력이 없는 경향이 있습니다.

4. 중복 사용

다른 사용자 신원으로 이미 등록된 이메일은 실수이거나 다중 계정입니다. 중복 이메일은 일반적으로 하드 거부보다는 검토 신호입니다. 가족이 가끔 주소를 공유하는 경우가 있기 때문입니다. 하지만 이는 패턴을 조기에 드러냅니다.

이메일이 최종 판결이 아닌 첫 번째 필터인 이유

이메일 인텔리전스는 2초 미만에 실행되며, 사용자 노력이 필요 없고, 문서 분석 또는 생체 확인에 비용을 지출하기 전에 낮은 노력의 사기를 중단시킵니다. 0.33달러 KYC 핵심 흐름 전에 0.03달러로 일회용 이메일을 감지하면 차단된 시도당 0.30달러를 절약할 수 있으며, 사기성 문서를 검토 대기열에서 완전히 제거할 수 있습니다.

이메일만으로는 완전한 그림을 제공하지 않습니다. 합법적인 사용자가 Gmail을 사용하거나, 오래된 유출 데이터베이스에 나타나거나, 이상한 MX 동작을 보일 수 있습니다. 이는 다운스트림 지출을 조정하는 것이지, 문서 및 생체 인식을 대체하는 것은 아닙니다.

Didit이 돕는 방법

Didit 이메일 인증은 OTP 전송과 전체 위험 평가를 검사당 0.03달러로 결합합니다. Didit은 해당 주소로 시간 제한 코드를 전송하며(6자리, 4~8자리 구성 가능), 코드는 5분 후에 만료되며 세션당 최대 3번의 입력 시도가 허용됩니다.

OTP와 함께 Didit은 4가지 위험 경고를 표시합니다.

경고	의미
BREACHED_EMAIL	해당 주소가 하나 이상의 알려진 데이터 유출 데이터베이스에 나타납니다. 응답에는 노출된 서비스가 나열됩니다.
DISPOSABLE_EMAIL	해당 주소가 알려진 임시 또는 일회용 이메일 제공업체에 속합니다.
UNDELIVERABLE_EMAIL	해당 주소는 메일을 수신할 수 없습니다. 잘못된 도메인, MX 레코드 없음 또는 알려진 반송 주소입니다.
INVALID_EMAIL	해당 주소의 구문이 잘못되었습니다.
DUPLICATED_EMAIL	해당 주소가 작업 공간의 다른 사용자 신원으로 이미 등록되었습니다.

각 경고는 독립적으로 구성할 수 있습니다. 워크플로 빌더에서 duplicated_email_action, breached_email_action, disposable_email_action을 APPROVE, REVIEW 또는 DECLINE으로 설정하세요. 세션 기반 모드(호스팅된 Didit 흐름)와 독립형 API 모드(POST /v3/email/send/ → POST /v3/email/check/)를 모두 사용할 수 있습니다.

사용 사례

소비자 핀테크 온보딩 — 일회용 및 전달 불가능 확인은 문서 확인 비용을 지불하기 전에 낮은 노력의 계정 사기를 중단시킵니다. 유출 노출은 가입 시 재활용된 자격 증명을 플래그합니다.

마켓플레이스 판매자 인증 — 판매자 계정에 새로 생성된 이메일 도메인은 KYB 전에 노란색 플래그입니다. 이메일 인텔리전스는 값비싼 확인 전에 빠르고 저렴한 신호를 제공합니다.

추천 및 프로모션 남용 — 일회용 이메일 감지는 추천 사기(가입 보너스를 수집하기 위해 일회용 주소를 순환하는 악성 행위자)에 대한 주요 대책입니다.

스텝업 흐름 — 사용자 이메일이 수명 주기 중간에 변경되는 경우, 다시 확인하면 일회용 제공자로의 대체(계정 탈취 준비의 일반적인 단계)를 감지합니다.

Didit과 통합하는 방법

세션 기반 (호스팅된 흐름)

1. 비즈니스 콘솔에서 워크플로에 EMAIL 기능을 추가하고 세 가지 위험 조치를 구성합니다.
2. 세션을 생성합니다. workflow_id, vendor_data 및 callback을 사용하여 POST /v3/session/을 호출합니다.
3. 사용자를 위해 session.url을 엽니다. 이메일 수집, OTP 및 위험 평가는 인밴드로 진행됩니다.
4. GET /v3/session/{sessionId}/decision/ 또는 session.status.updated를 통해 결과를 읽습니다. 이메일 결과는 email_verifications[]에 포함됩니다.

독립형 API (서버 간 OTP 쌍)

# 1단계 — 코드 전송
curl -X POST 'https://verification.didit.me/v3/email/send/' \
  -H "Authorization: Bearer $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "email": "alice@example.com", "vendor_data": "user-1234" }'

# 2단계 — 코드 확인 (사용자가 UI에 입력한 후)
curl -X POST 'https://verification.didit.me/v3/email/check/' \
  -H "Authorization: Bearer $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "email": "alice@example.com", "code": "123456", "disposable_email_action": "DECLINE" }'

확인 응답에는 항상 전체 이메일 메타데이터가 포함됩니다. 노출된 서비스가 포함된 breaches[], disposable 플래그 및 deliverable 플래그입니다.

전체 참조: 이메일 인증 개요, 경고 카탈로그, 보고서 스키마.

자주 묻는 질문

이메일 인증이 문서 인증을 대체하나요?

아니요. 문서 및 생체 확인에 비용을 지출하기 전에 낮은 노력의 사기를 중단시키는 사전 필터입니다.

일회용 이메일 제공업체로 간주되는 것은 무엇인가요?

Didit은 지속적으로 업데이트되는 알려진 임시 이메일 서비스의 실시간 데이터베이스를 유지합니다. 일반적인 무료 웹메일(Gmail, Outlook)은 일회용으로 플래그되지 않으며, 별도의 평판 신호가 이러한 패턴을 다룹니다.

유출된 이메일 주소도 합법적일 수 있나요?

네. 유출 노출은 해당 주소가 유출된 데이터베이스에 나타났다는 의미일 뿐, 사용자가 사기꾼이라는 의미는 아닙니다. BREACHED_EMAIL에 대해 얼마나 적극적으로 조치할지는 위험 허용 범위와 해당 응답이 반환하는 유출 횟수에 따라 달라집니다.

사용자의 이메일을 전달할 수 없으면 어떻게 되나요?

OTP는 전송되지 않으며 확인이 중단됩니다. 전달 불가능 감지 횟수에 대한 청구 계약을 참조하세요.

중복 이메일 확인은 어떻게 작동하나요?

DUPLICATED_EMAIL은 작업 공간에서 동일한 주소가 다른 vendor_data로 등록될 때 발생합니다. 동일한 사용자가 다시 인증하는 경우에는 트리거되지 않습니다.

시작할 준비가 되셨나요?

이메일 인증은 Didit의 광범위한 사기 방지 영역 중 하나입니다. IP 및 장치 분석, 문서 인증, 생체 인식, AML 스크리닝과 함께 단일 워크플로에서 구성할 수 있습니다.

• 기능 알아보기 → 이메일 인증 문서
• 플랫폼에서 확인하기 → 사용자 인증
• 가격 확인하기 → 가격 — 이메일 인증 0.03달러, 월 500회 무료 인증
• 무료로 시작하기 → business.didit.me