IP Whois 조회 — 소유자·할당 기관 확인

RDAP 기반 조회란

이 도구는 각 IP를 담당하는 지역 인터넷 레지스트리(RIR)의 RDAP(Registration Data Access Protocol) 서버에 직접 질의합니다. 예전의 텍스트 Whois와 달리 RDAP는 필드가 표준화된 JSON을 돌려주므로, 할당 범위와 소유 관계를 기계적으로 정확히 읽어낼 수 있습니다. 조회는 아래 다섯 RIR 엔드포인트에 병렬로 보내 가장 먼저 유효 응답을 준 서버 결과를 사용합니다.

한국의 IP는 APNIC 산하 국가 레지스트리인 **KRNIC(한국인터넷진흥원)**이 관리합니다. 국내 대역을 조회하면 APNIC 또는 KRNIC 위임 정보가 나타나는 것이 정상입니다.

Whois로 알 수 있는 것

RDAP 응답에서 이 도구가 추려 보여주는 항목은 다음과 같습니다.

• 망 범위(startAddress ~ endAddress): 해당 IP가 속한 연속 대역. 이 범위를 CIDR로 환산하면 조직이 보유한 블록 크기를 알 수 있습니다.
• 등록 국가: 대역을 할당받은 기관의 등록지 코드.
• 핸들(handle): RIR 내부에서 이 객체를 식별하는 고유 ID.
• 등록자(registrant): 대역을 위임받은 기관·조직명. vCard의 이름 필드에서 추출합니다.
• 이벤트(events): 최초 등록일과 마지막 변경일 등 이력.

이 정보로 “이 IP가 어느 통신사·기관·클라우드의 어느 크기 대역에 속하는가”를 판별할 수 있습니다. 스팸 발신 IP의 소속 통신사를 찾아 신고하거나, 서버 대역의 소유자를 확인하는 실무에 유용합니다.

Whois로 알 수 없는 것

반대로 IP Whois는 개인을 특정하지 못합니다. 등록자는 거의 항상 통신사·호스팅사·기관 단위이며, 그 아래 실제 사용자 개인은 드러나지 않습니다. 다음은 흔한 오해입니다.

• 실사용자 신원: 등록자 필드는 대역 관리 주체이지 접속자 개인이 아닙니다.
• 정확한 물리 주소: 표시되는 주소가 있더라도 기관의 등록 주소일 뿐 접속 위치가 아닙니다.
• 개인 연락처: RIPE 등 다수 관할은 개인정보 보호 정책으로 연락처를 비공개 처리합니다.

즉 Whois는 망(network) 소유 정보를 위한 도구이지 **사람(person)**을 찾는 도구가 아닙니다. 사용자 실명 매칭은 통신사만 가진 가입자 데이터가 있어야 하고, 이는 법적 절차 없이 접근할 수 없습니다.

실무 활용

메일 서버가 특정 IP로부터 공격·스팸을 받을 때, Whois로 해당 대역의 소속 통신사(abuse 연락처)를 파악해 신고하는 것이 대표적 활용입니다. 서버 대역 소유자 확인, 클라우드 리전 판별에도 쓰입니다. 예를 들어 낯선 IP가 서버 접근 로그에 반복적으로 나타나면 Whois로 소속 기관을 먼저 확인한 뒤, 그 기관이 클라우드 사업자인지 일반 통신사인지에 따라 대응 강도를 달리할 수 있습니다. 클라우드·호스팅 대역이면 자동화된 스캐너·봇일 가능성이, 일반 통신사 대역이면 실사용자일 가능성이 상대적으로 높아 조사 우선순위를 정하는 데 도움이 됩니다.

RIR별 정책 차이 이해하기

같은 RDAP 조회라도 IP가 어느 RIR 관할이냐에 따라 보이는 정보의 양이 다릅니다. 이는 각 RIR의 공개 정책과 지역 개인정보 규제가 다르기 때문입니다.

그래서 어떤 IP는 등록자·이벤트가 풍부하게 나오고, 다른 IP는 대역 범위와 국가만 나오기도 합니다. 이는 도구의 오류가 아니라 각 레지스트리가 공개하기로 정한 범위의 차이입니다. 한국 대역을 조회했을 때 KRNIC 또는 그 상위인 APNIC의 위임 정보가 함께 나타나는 것도 이런 계층 구조 때문입니다.

조회 결과 필드 읽는 법

RDAP 결과를 실무에서 정확히 해석하려면 각 필드의 의미를 알아야 합니다.

• 핸들(handle): 이 등록 객체의 고유 식별자. 통신사에 신고할 때 대상 대역을 특정하는 근거가 됩니다.
• 망 범위(startAddress ~ endAddress): 이 IP가 속한 연속 블록의 시작과 끝. 이 범위를 CIDR로 환산하면 대역 크기를 알 수 있어, CIDR 계산기와 함께 쓰면 서브넷 구조를 파악할 수 있습니다.
• 등록 국가: 대역을 위임받은 기관의 등록 국가 코드. 실제 서비스 국가와 다를 수 있습니다.
• 이벤트(events): registration(최초 등록)과 last changed(마지막 변경) 같은 시점 정보로, 대역이 언제부터 이 기관에 할당됐는지 가늠할 수 있습니다.
• 등록자(registrant): 대역을 위임받은 조직명. 앞서 강조했듯 개인이 아니라 기관 단위입니다.

이 필드들을 종합하면 “어느 기관이, 언제부터, 얼마나 큰 대역을” 보유했는지 그림이 그려집니다. 스팸·공격 대응 시 이 정보를 근거로 정확한 대역과 관리 주체를 지목해 신고하면 처리 속도가 빨라집니다.

Whois와 GeoIP는 다른 도구

마지막으로 자주 혼동되는 두 조회를 구분해 두면 좋습니다. Whois(RDAP)는 IP가 행정적으로 누구에게 할당됐는가를 알려주는 등록 정보 조회이고, GeoIP는 IP가 어디에서 접속하는가를 추정하는 위치 조회입니다. 등록 국가가 미국인 다국적 통신사의 대역이 실제로는 한국에서 서비스되는 경우처럼, 두 결과가 다르게 나오는 것은 정상입니다. 접속 위치가 궁금하면 IP 조회 도구를, 대역 소유·관리 주체가 궁금하면 이 Whois 도구를 사용하세요. 두 정보를 함께 보면 IP의 성격을 훨씬 입체적으로 파악할 수 있습니다.

자주 묻는 질문