AI 생성 이미지
msonlineservicesteam@microsoftonline.com은 Microsoft가 2단계 인증 코드와 계정 관련 중요 알림을 보낼 때 사용하는 주소로 알려져 있다. 사용자는 이런 주소에서 온 메일을 일반 스팸보다 더 쉽게 신뢰한다.
이번 사례의 핵심도 여기에 있다. 문제는 “Microsoft 주소도 위험하다”는 단순한 경고가 아니다. 공격자는 사용자가 이미 믿고 있는 발신자, 알림 형식, 메일 흐름을 악용한다. 따라서 보안 판단 기준도 발신 주소 하나에서 벗어나야 한다.
The Spamhaus Project는 이 Microsoft 알림 주소의 악용이 “몇 달” 전부터 있었다고 밝혔고, 해당 문제를 Microsoft에 통보했다고 설명했다.
신뢰받는 알림 주소가 왜 위험한가
피싱과 스팸은 더 이상 낯선 외부 발신자처럼 보이지만은 않는다. 내부 공지, 계정 알림, 보안 확인 요청처럼 꾸며 사용자의 경계를 낮춘다.
특히 2단계 인증 코드나 계정 보안 알림에 쓰이는 주소라면 효과는 더 커진다. 사용자는 메일의 내용보다 “익숙한 발신자”를 먼저 보고 판단하기 쉽다. 공격자는 바로 이 습관을 노린다.
따라서 이번 사례에서 배워야 할 점은 명확하다. 신뢰할 수 있어 보이는 발신자라도 메일의 목적, 링크, 인증 요청 방식, 문구의 긴급성은 따로 확인해야 한다.
Direct Send는 어떤 맥락에서 봐야 하나
Microsoft 365 환경에서는 메일 흐름 자체도 점검 대상이다. 그중 Direct Send는 프린터, 스캐너, 업무용 애플리케이션, 내부 자동 알림 시스템이 SMTP 인증 없이 조직 내 사서함으로 메일을 보낼 수 있게 하는 Exchange Online 메일 흐름 옵션이다.1
Direct Send는 일반적으로 테넌트의 Exchange Online 메일 엔드포인트와 25번 포트를 사용하며, 내부 수신자에게 메시지를 전달하는 용도로 제한된다.1 정상적인 업무 자동화에는 유용하지만, 제출 단계에서 인증이 필요하지 않기 때문에 테넌트 통제가 약한 환경에서는 악용될 수 있다.1
또한 Direct Send의 메일 라우팅 엔드포인트는 식별하기 쉬운 편이라 공격자가 노리기 쉽다.1 즉, 조직은 “메일이 내부에서 온 것처럼 보인다”는 이유만으로 안전하다고 판단해서는 안 된다.
발신 주소보다 중요한 판단 기준
이번 사례처럼 신뢰받는 주소가 악용될 때, 사용자는 발신자 표시만으로 위험을 구분하기 어렵다. 조직도 마찬가지다. 보안 정책은 다음 요소를 함께 봐야 한다.
링크가 실제 Microsoft 로그인 또는 관리 페이지로 연결되는지
인증 코드, 비밀번호, 세션 재인증을 과도하게 요구하는지
“즉시 조치”, “계정 정지”처럼 긴급성을 과하게 강조하는지
같은 유형의 메일이 반복적으로 발송되는지
내부 발신처럼 보이지만 정상적인 시스템에서 나온 메일인지
Microsoft도 과거 합법적인 이메일 서비스와 정교한 기업형 HTML 양식을 이용한 대규모 자격 증명 탈취 캠페인을 공개한 바 있다. 해당 캠페인은 26개국 1만3천 개 이상 조직의 3만5천 명 이상을 겨냥했다.2 공격자는 점점 더 정상적인 업무 흐름과 비슷한 형태로 접근한다.
조직이 바로 점검할 것
먼저 Microsoft 365 Direct Send 사용 현황을 확인해야 한다. 어떤 시스템이, 어떤 목적에, 어떤 경로로 메일을 보내는지 파악하는 것이 출발점이다.
필요 없는 Direct Send 구성은 제거하고, 필요한 경우에는 신뢰한 IP와 승인된 시스템으로 제한해야 한다.1 내부 자동 알림 시스템도 예외로 두지 말고 정기적으로 검토하는 편이 안전하다.
메일 인증 정책도 함께 강화해야 한다. SPF, DKIM, DMARC를 엄격히 적용하고, 내부 발신처럼 보이는 메일에 대한 안티스푸핑 정책과 사용자 사칭 탐지도 조정해야 한다.
사용자 교육의 메시지도 바뀌어야 한다. “외부 메일만 조심하라”가 아니라 “익숙한 알림처럼 보여도 링크 클릭 전 확인하라”는 기준을 줘야 한다. 특히 계정 보안, 2단계 인증, 비밀번호 재설정 관련 메일은 별도 브라우저에서 직접 서비스에 접속해 확인하는 습관이 필요하다.
결론은 단순하다. 신뢰받는 주소일수록 공격자에게는 더 좋은 미끼가 된다. 메일 보안은 발신자 이름을 믿는 방식에서, 메일 흐름과 행동 패턴을 검증하는 방식으로 옮겨가야 한다.
1How Attackers Abuse Microsoft 365 Direct Send to Deliver Phishing Emails
2Microsoft Details Phishing Campaign Targeting 35,000 Users Across 26 Countries
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.