Gmail은 침입하기 어렵습니다. Google에 따르면 스팸, 피싱 시도, 멀웨어의 99.9% 이상이 사용자에게 도달하기 전에 차단됩니다. 또한 패스키나 보안 키를 사용하면 계정을 도용하기가 매우 어렵습니다. 따라서 Gmail은 많은 일반적인 위협으로부터 안전하지만, 반드시 개인적이라고는 할 수 없습니다.
보안과 개인정보 보호는 서로 다른 질문에 답합니다\u00a0:
- 보안은 범죄자가 받은 편지함에 침입할 수 있는지를 묻습니다.
- 개인정보 보호는 메일 서비스를 운영하는 회사를 포함해 다른 누가 해당 내용을 읽을 수 있는지를 묻습니다.
Gmail은 기본적으로 종단간 암호화됨이 아닙니다. 즉, 메시지가 발신자와 수신인만 복호화할 수 있는 방식으로 암호화되지는 않습니다. Google은 저장된 메시지의 키를 보유하고, 스팸 필터링과 Smart Compose 같은 기능을 실행하기 위해 메시지 내용을 처리하며, 계정을 광고 사업을 뒷받침하는 것과 같은 Google 프로필에 연결합니다. 요약하면 Gmail은 비교적 안전하지만 비공개 이메일 서비스는 아닙니다.
Gmail이 암호화되어 있나요?
예, 하지만 종단간 암호화는 아닙니다. 일반 Gmail은 전송 중에는 TLS를, 저장 시에는 암호화를 사용합니다. 일부 유료 Google Workspace 요금제의 비즈니스 고객은 더 강력한 옵션을 추가할 수 있습니다.
| 암호화 유형 | 보호 대상 | 사용 가능 플랫폼 | Google이 메시지를 읽을 수 있나요? |
|---|---|---|---|
| TLS | 상대 서버가 지원하는 경우 메일 서버 간에 이동하는 이메일 | 모든 계정 | 예 |
| 저장 시 암호화 | 도난당한 드라이브 및 일부 인프라 공격으로부터 저장된 이메일 | 모든 계정 | 예 |
| 호스팅 S/MIME | S/MIME 인증서가 모두 있는 사용자 간 이메일 | Enterprise Plus, Frontline Plus, Education 요금제 | 예, 인증서와 비밀 키가 Gmail에 업로드됩니다. |
| 클라이언트 측 암호화(CSE) | 조직이 관리하는 키로 브라우저에서 암호화된 이메일 | Enterprise Plus, Frontline Plus, Education Standard, Plus | 아니요, 하지만 조직은 할 수 있습니다. |
개인용 Gmail에서 진정한 종단 간 암호화를 사용하려면 Mailvelope 같은 타사 PGP 확장 프로그램이 필요하며, 수신인도 PGP 소프트웨어를 사용해야 합니다. PGP는 종단 간 암호화를 위한 개방형 표준인 OpenPGP를 따르는 소프트웨어입니다.
Gmail의 기밀 모드가 이메일을 암호화하나요?
아니요. 기밀 모드를 사용하면 유효기간을 설정하고, 접근 권한을 취소하고, SMS 패스코드를 요구하고, 수신인이 메시지를 전달, 복사, 인쇄 또는 다운로드하지 못하도록 할 수 있습니다. 수신인은 여전히 이메일의 스크린샷이나 사진을 찍을 수 있습니다. 기밀 모드는 수신인이 할 수 있는 일을 제한하지만, Google로부터 메시지를 비공개로 보호하지는 못합니다.
Gmail은 안전한가요?
예, 도난당한 비밀번호, 피싱, 스팸, 멀웨어에 대한 보호 측면에서 Gmail은 이용 가능한 이메일 서비스 중 더 강력한 편에 속합니다. 특히 비밀번호를 패스키나 보안 키로 바꾸면 더욱 그렇습니다. 이유는 다음과 같습니다\u00a0:
전송 중 및 저장 시 암호화
Gmail은 메일 서버 간에 메시지가 이동하는 동안 TLS (Transport Layer Security)로 메시지를 암호화합니다. 따라서 통신 반대편의 이메일 제공 업체도 TLS를 지원하는 경우 이메일은 전송 중에 보호됩니다. 메시지 옆에 빨간색 열린 자물쇠 아이콘이 보이면 해당 이메일이 암호화되지 않았다는 뜻입니다.
이메일이 Google 서버에 도착하면 저장 시 암호화됩니다. Google Workspace 암호화 백서(새 창)에는 Gmail 메시지와 첨부 파일이 128비트 이상 키를 사용하는 AES로 암호화된다고 나와 있으며, 이 키는 Google이 생성하고 관리합니다.
두 보호 기능 모두 네트워크 링크를 도청하거나 데이터 센터에서 하드 드라이브를 훔치는 행위처럼 외부인을 막아 줍니다. 그러나 Google이 키를 보유하고 있으므로 이메일에 대한 기술적 접근을 계속 유지합니다. 이것이 발신자와 수신인만 메시지를 복호화할 수 있는 종단 간 암호화와의 차이입니다.
2단계 인증 및 패스키
Google은 2단계 인증(2FA)을 지원합니다. 휴대폰에서 받는 Google 확인 메시지, 인증 앱, 패스키, 실물 보안 키 또는 문자나 전화로 전송된 코드로 로그인을 확인할 수 있습니다. 문자나 전화로 전송된 인증 코드는 전화번호 기반 공격에 취약하며, Gmail 대변인은 2025년 2월 Forbes에 밝힌 바(새 창)에서 Google이 “인증을 위해 SMS 메시지를 보내는 방식에서 벗어나고자 한다”고 말했습니다. Google의 기본 로그인 옵션인 패스키는 피싱 같은 온라인 공격을 막아낼 수 있어 더 강력합니다.
위험도가 높은 사용자를 위해 Google은 고급 보호 프로그램을 제공합니다. 이 프로그램은 로그인에 패스키나 보안 키를 요구하고, Google 앱과 인증된 타사 앱만 계정 데이터에 접근하도록 허용하며, 다운로드에 대해 더 엄격한 검사를 실행합니다. 이 프로그램은 Gmail이 이메일을 암호화하는 방식을 바꾸지 않으므로 Google은 여전히 메시지를 읽을 수 있습니다.
스팸, 피싱, 멀웨어 보호
Gmail은 수신 메일을 자동으로 필터링합니다. 회사에 따르면 1분마다 거의 1,000만 건의 스팸 이메일을 차단하며, 2024년 말에 도입된 최신 AI 모델은 이전보다 스팸을 20% 더 많이 차단합니다. Gmail은 다음과 같은 기능도 수행합니다\u00a0:
- 실행 파일처럼 위험할 수 있는 첨부 파일 유형을 거부하고, 위험한 첨부 파일을 다운로드하기 전에 경고합니다.
- 의심스러운 메시지, 안전하지 않은 콘텐츠, 기만적인 링크에 경고 배너를 표시합니다.
- Gmail로 메일을 보내는 모든 사람은 SPF 또는 DKIM을 사용해 도메인을 인증해야 하며, TLS로 메일을 보내고, 스팸 비율을 0.3% 미만으로 유지해야 합니다. 하루에 5,000건 이상의 메시지를 보내는 경우 SPF와 DKIM을 모두 사용해야 하며, DMARC와 원클릭 구독 해지도 설정해야 합니다. 이러한 요건을 충족하지 않는 이메일은 거부되거나 스팸함으로 보내집니다.
- 도메인과 로고를 인증한 브랜드 옆에 파란색 체크 표시처럼 보이는 인증 로고, 즉 BIMI(Brand Indicator for Message Identification)를 표시합니다. 이를 통해 사칭이 더 어려워집니다.
필터는 위험을 줄이지만 완전히 없애지는 못합니다. Microsoft는 2026년 1분기에 약 83억 건의 이메일 기반 피싱 위협(새 창)을 탐지했으며, 공격자들은 Google 자체 시스템도 악용했습니다. 2025년 4월, 피싱범들은 Gmail의 인증 검사를 통과한 no-reply@google.com 주소에서 가짜 알림을 보냈습니다(새 창).
Gmail의 스팸 필터에도 예외가 있으며, 누가 그 예외를 받을지는 Google이 결정합니다. 2026년 9월부터 Gmail Verified Sender Program을 통해 등록된 미국 정치 위원회는 인증된 도메인에서 메일을 보내고 스팸 신고율을 0.3% 미만으로 유지하면 필터를 우회할 수 있습니다. 이전에는 Gmail이 스팸으로 분류했을 정치 이메일이 이제 받은 편지함에 도착하며, 이를 다시 걸러내는 일은 사용자 몫입니다.
계정 보안 기능
Google 계정 도구는 많은 계정 탈취 시도를 초기에 잡아냅니다 :
보안 점검은 오래된 기기를 삭제하거나 복구 방법을 추가하는 등 맞춤형 권장 사항을 제공합니다.
보안 알림은 누군가 새 기기에 로그인하거나 계정에서 비정상적으로 많은 이메일을 보내면 전화나 이메일로 알려 줍니다. 사기범들은 이러한 알림을 흉내 냅니다. 2024년에는 가짜 복구 요청과 AI 음성 통화를 결합한 수법(새 창)으로 계정을 탈취하기도 했습니다. 알림이 진짜인지 확인하려면 링크를 클릭하는 대신 Google 계정에 직접 접속하세요.
기기 관리에서 로그인된 모든 기기를 확인하고 원격으로 로그아웃할 수 있습니다. 멀웨어 감염 우려가 있을 때마다 이 기능을 사용하세요. 2024년에는 연구원들(새 창)이 정보 탈취 멀웨어를 발견했는데, 이 멀웨어는 훔친 세션 토큰을 재사용해 비밀번호를 재설정한 뒤에도 Google 계정에 대한 접근을 유지했습니다. Google은 영향을 받은 브라우저에서 로그아웃하거나 기기 페이지에서 해당 브라우저의 접근을 취소하면 이 접근이 차단된다고 밝혔습니다.
복구용 전화와 이메일은 계정이 잠겼을 때 다시 로그인할 수 있도록 도와줍니다.
향상된 세이프 브라우징은 Chrome과 Gmail 전반에서 피싱과 멀웨어에 대한 보호를 강화합니다.
Gmail 보안 사고와 공격
알려진 Gmail 보안 사고는 다음과 같습니다. 이러한 사고는 Google 시스템이 침해된 것이 아니라 사용자 측에서 피싱, 멀웨어 또는 유출된 비밀번호를 통해 시작되었다는 점에 유의하세요.
- 2026년 1월, 한 연구원이 노출된 데이터베이스에서 1억 4,900만 개의 탈취된 자격 증명(새 창)을 발견했습니다. 그중 약 4,800만 건은 Gmail 계정 정보였습니다. Google은 이러한 로그인 정보가 Google에서 탈취된 것이 아니라 사용자 기기의 멀웨어를 통해 수집되었다고 밝혔습니다.
- 2025년 8월, ShinyHunters로 알려진 해커들이 Google Salesforce 데이터베이스에서 데이터를 탈취했습니다. 탈취된 데이터에는 중소기업의 연락처 정보와 메모가 포함되었습니다. Gmail 데이터는 포함되지 않았습니다.
- 2025년 7월, 연구원들(새 창)은 이메일에 숨겨진 텍스트로 Gemini의 “Summarize this email” 기능을 속여 가짜 보안 경고를 표시하게 할 수 있음을 보여 주었습니다.
- 2025년 4월, 피싱 사기범들이 Gmail의 인증 검사를 통과한 no-reply@google.com 주소에서 가짜 알림을 보냈으며(새 창), 이 알림은 Google 사이트의 가짜 지원 페이지로 연결되었습니다.
- 2024년 10월, 사기범들은 Google 지원팀을 사칭한(새 창) AI 생성 음성 통화와 가짜 계정 복구 안내를 함께 사용해 Gmail 계정을 탈취했습니다.
- 2018년 10월부터 12월 사이, 두 건의 Google+ 버그로 최대 50만 명과 이후 5,250만 명의 사용자 프로필 데이터가 노출되었습니다. Google은 Google+를 종료하고 Gmail에 대한 타사 접근을 강화했습니다.
Gmail은 개인 정보를 보호하나요?
꼭 그렇지는 않습니다. Gmail은 외부인으로부터 메시지를 잘 보호하지만, Google 자체는 메시지에 접근할 수 있고, 메시지를 사용하는 방식에 대한 데이터를 수집하여 이를 Google 계정에 연결합니다. 종단간 암호화와 제로 접근 암호화를 사용하는 개인정보 보호 중심 이메일 서비스는 그렇게 할 수 없도록 설계되어 있습니다.
Gmail은 기본적으로 종단간 암호화되지 않습니다
받은 편지함을 검색용으로 색인하고 답장을 제안하기 위해 Google 서버는 이메일을 읽을 수 있는 형태로 처리합니다. 이는 사용자가 아니라 Google이 암호화 키를 보유하고 있기 때문에만 가능합니다.
클라이언트 측 암호화를 통해 종단간 암호화를 제공한 것은 유료 Google Workspace뿐이었습니다. 종단간 암호화에서는 메시지가 보낸 사람의 기기에서 암호화되고 수신인의 기기에서만 복호화됩니다. 서비스 제공자는 키가 없는 암호화된 데이터를 저장합니다.
Google은 Gmail 사용자로부터 어떤 데이터를 수집하나요?
Google 개인정보취급방침은 검색, 지도, YouTube에 적용되는 것과 마찬가지로 Gmail에도 적용되므로, 이 모든 서비스에서 이루어지는 활동이 Google이 사용자에 대해 알고 있는 정보에 추가됩니다. 이 방침에는 다음 범주가 명시되어 있습니다 :
| 카테고리 | Google 개인정보취급방침 예시 |
|---|---|
| 만들거나 제공하는 항목 | 이름, 비밀번호, 전화번호, 결제 정보, 이메일을 포함한 콘텐츠 |
| 앱, 브라우저, 기기 | 고유 식별자, 브라우저 및 기기 유형, 운영 체제, 충돌 보고서 |
| IP 주소 및 국가 | IP 주소(새 창), GPS, 주변 기기, 활동을 바탕으로 유추한 국가 정보 |
| Google 서비스 활동 | 설정에 따라 검색 기록, 시청한 동영상, 구매 활동, 커뮤니케이션 기록 |
2026년 10월 기준으로 Gmail 앱의 iOS App Store 개인정보 라벨은 수집하는 데이터를 “Data Linked to You”로 분류하며, 여기에는 구매 내역, 대략적인 국가, 연락처, 이메일 및 기타 사용자 콘텐츠, 검색 기록, 사용자 및 기기 ID, 광고 데이터가 포함됩니다.
Google 개인정보 보호 설정에서 웹 및 앱 활동을 일시정지하고, 내 광고 센터의 맞춤 광고를 끄고, 국가 추적을 중지하는 등의 설정을 변경하세요.
Google은 Gmail 데이터를 광고에 사용하나요?
Google은 이메일 콘텐츠를 광고 타겟팅에 사용하지 않는다고 말합니다. 2017년에 이를 중단했으며, 당시 “소비자용 Gmail 콘텐츠는 어떠한 광고 맞춤설정에도 사용되거나 스캔되지 않습니다.”라고 밝혔습니다. 현재 개인정보취급방침에는 다음과 같이 나와 있습니다 : “당사는 Drive, Gmail 또는 Photos의 콘텐츠를 기반으로 맞춤 광고를 표시하지 않습니다.”
받은 편지함 역시 다른 방식으로 Google의 광고 사업에 포함되어 있습니다. 예를 들어 Gmail은 “Google에 로그인한 상태에서의 온라인 활동”을 기반으로 광고를 표시하며, 여기에는 검색 기록과 YouTube 기록이 포함됩니다. 2025년 프랑스 개인정보보호 당국은 Google에 € 325 million의 벌금을 부과했습니다(새 창). 이 벌금의 일부 이유는 동의 없이 프로모션 및 소셜 탭의 이메일 사이에 광고를 삽입했기 때문입니다. Google은 항소했으며, 2026년 10월 기준으로 보도된 판결은 없습니다.
Gmail은 AI 학습에 이메일을 사용하나요?
Google은 아니라고 답합니다. 2025년 11월, 대변인은 Tom’s Guide에(새 창) 다음과 같이 밝혔습니다 : “당사는 Gemini AI 모델 학습에 Gmail 콘텐츠를 사용하지 않습니다.”
다만 Gemini가 Gmail을 읽도록 허용하면, Gemini가 채팅으로 가져오는 이메일 콘텐츠는 Gemini 규칙을 따르며, 이 규칙에 따라 Gemini 활동이 저장되는 동안 Google은 프롬프트와 응답을 AI 학습에 사용할 수 있습니다. 사람 검토자가 확인하는 채팅은 최대 3년 동안 보관됩니다.
Gmail의 스마트 기능 설정은 Smart Compose, 택배 추적, 요약 카드 기능을 활성화합니다. Google은 이를 켜면 “Workspace 콘텐츠 및 활동을 이러한 기능 개선을 위해 처리할 수도 있습니다”라고 말합니다. 그러나 Gmail에서 Gemini 끄기는 받은 편지함 카테고리, Smart Reply 등 다른 유용한 AI 기반 기능도 비활성화합니다.
Gmail 개인정보 소송 및 위반 사례
Google은 벌금을 부과받았고 Gmail 사용자 데이터 처리 방식과 관련해 여러 차례 소송을 당해 왔습니다. 몇 가지 예는 다음과 같습니다 :
- 2025년 11월, Thele 대 Google(새 창) 소송에서 원고는 Google이 동의 없이 Gmail, Chat, Meet에 Gemini를 켰다고 주장했습니다. 2026년 7월 판사는 수정을 허용하는 조건으로 소송을 기각했으며, 수정된 소장이 계류 중입니다.
- 2025년 9월, CNIL은 Google에 € 325 million의 벌금을 부과했습니다(새 창). 이는 동의 없이 Gmail의 프로모션 및 소셜 탭에서 이메일 사이에 광고를 보여 준 데다, 계정 생성 시 쿠키를 설정했기 때문입니다. CNIL은 5,300만 명이 광고를 봤다고 밝혔습니다. Google은 항소했습니다.
- 2018년 7월, 월스트리트 저널은 타사 이메일 앱 직원들이 사용자의 Gmail 메시지를 읽었다고 보도했습니다(새 창). Google은 “동의가 있거나 보안을 위한 경우를 제외하고는 Google 직원 누구도 Gmail을 읽지 않습니다”라고 답했으며, 사용자가 이러한 앱에 접근을 허용한다고 밝혔습니다. 이후 10월에는 Gmail API 접근을 “이메일 기능을 직접 향상시키는” 앱으로 제한했습니다.
- 2013년과 2014년에 사용자들은 광고 타겟팅을 위해 이메일 콘텐츠를 스캔한 Gmail(새 창)을 두고 소송을 제기했습니다. 집단 소송은 실패했고 대부분의 원고는 개별적으로 합의했습니다. Google은 2017년에 광고용 스캔을 중단했습니다.
Gmail을 더 안전하고 개인적으로 보호하는 방법
이 단계를 따르면 계정 탈취가 훨씬 어려워지고 Google이 수집하는 정보도 줄어듭니다. 하지만 이 중 어떤 방법도 Google이 메시지에 접근하는 것을 막지는 못합니다.
- 패스키 또는 보안 키를 사용하세요. Google 계정의 보안 메뉴에서 설정하세요. 패스키는 비밀번호나 SMS 코드와 달리 피싱에 강합니다.
- 2단계 인증을 켜고 문자 메시지보다 Google 알림이나 인증 앱을 우선 사용하세요.
- 고유한 비밀번호를 사용하세요. 비밀번호 관리자로 생성한 비밀번호라면 다른 웹사이트에서 유출되더라도 Gmail에 접근할 수 없습니다.
- 기기를 검토하세요. 인식할 수 없는 기기는 모두 로그아웃하세요.
- 타사 앱을 삭제하세요. 계정에 연결된 앱 목록에서 더 이상 사용하지 않는 앱, 특히 이메일을 읽을 권한이 있는 앱을 삭제하세요.
- 보안 점검을 실행하세요. 직접 관리하는 복구용 전화번호와 이메일을 추가하세요.
- 스마트 기능을 끄세요. Google이 Smart Compose, 요약 카드, 제품 간 기능을 위해 이메일을 처리하는 것을 원하지 않는다면 Gmail 설정에서 이를 끄세요. 또한 Google 계정의 데이터 & 개인정보 보호 설정에서 활동 관리 항목을 검토하세요.
- 피싱을 알아보는 방법을 익히세요. 긴급한 보안 알림이라면, Google에서 온 것처럼 보이더라도 의심하세요.
- 매우 민감한 정보는 보내지 마세요. 이를 위해 개인 및 보안 이메일을 사용하세요.
Gmail보다 더 개인적이고 안전한 대안
더 안전하고 개인적인 Gmail 대안을 원한다면 종단 간 암호화와 제로 접근 암호화가 기본으로 탑재된 서비스를 찾아보세요. Proton Mail은 이 두 가지 기능과 Gmail에서 기대하는 일상적인 기능을 무료 및 유료 요금제에서 모두 제공합니다.
PGP를 사용하는 수신인이나 다른 Proton 사용자에게 보내는 이메일은 메시지 본문과 첨부 파일을 포함해 종단간 암호화됩니다. 그 밖의 경우에는 비밀번호 보호 기능을 추가할 수 있습니다. 이렇게 하면 작성자와 수신인만 해당 이메일을 읽을 수 있습니다. Proton 서버에서 보안 사고가 발생하는 극히 드문 경우에도 이메일 내용은 계속 보호됩니다. Proton이 법원 명령을 받는 경우에도 마찬가지입니다.
Proton은 사용자에 대한 데이터가 아닌 구독료로 운영됩니다. 광고를 보여주지 않으며, 사용자를 추적하지 않고, 데이터를 판매하지 않으며, AI 학습에도 사용하지 않습니다. 모든 Proton 앱과 마찬가지로 Proton Mail은 세계에서 가장 강력한 수준으로 꼽히는 스위스 개인정보 보호법의 보호를 받습니다.
Easy Switch를 이용하면 Google에서 쉽게 전환할 수 있습니다. 이 기능은 Gmail 메시지, 연락처, 캘린더를 가져오고, 새 이메일을 Proton Mail로 전달하며, 새 받은 편지함에 익숙해지는 동안 Gmail 주소에서 계속 이메일을 보낼 수 있게 합니다. Google을 완전히 떠날 준비가 되면 전체 전환을 완료하고 Gmail 계정을 삭제할 수 있습니다. 이는 Google 없는 삶을 위한 중요한 단계입니다.
