메일로 받은 오피스 파일의 매크로, 왜 막아야 하나요?

지침은 범위를 메일로 한정해 적습니다

답부터 적으면 CISA 의 랜섬웨어 지침은 메일로 전달되는 마이크로소프트 오피스 파일에 대해 매크로 스크립트가 비활성화되도록 하라고 적습니다. 모든 매크로를 금지하라는 문장이 아니라 전달 경로를 메일로 한정한 문장입니다. 이 한정이 적용 범위를 정하는 기준이 됩니다.

경로를 한정한 이유

매크로 자체가 위험한 기능이라기보다, 외부에서 들어온 파일이 사용자의 권한으로 코드를 실행할 수 있다는 조합이 위험합니다. 메일은 외부에서 조직 안으로 파일이 들어오는 가장 흔한 경로입니다. 그래서 내부에서 만들어 쓰는 매크로와 메일로 들어온 파일의 매크로를 같은 기준으로 다루지 않습니다.

업무용 매크로와 충돌하는 지점

실무에서는 정산이나 보고서 양식에 매크로를 쓰는 조직이 많습니다. 메일로 받은 파일의 매크로만 막는 정책이라면 내부 양식은 영향을 받지 않습니다. 문제는 그 양식을 메일로 주고받는 경우입니다. 이때는 파일을 공유 저장소에 두고 링크로 전달하는 식으로 전달 경로를 바꾸는 쪽이 정책과 업무를 함께 지킵니다.

다른 하드닝 항목과 같이 작동합니다

매크로 차단은 단독으로 쓰이는 항목이 아닙니다. 같은 지침은 메일에 대해 피싱 저항성 다중 인증을 적용하라고 적고, 특히 메일 계정을 지목합니다. 메일 계정이 탈취되면 내부 사람이 보낸 것으로 보이는 첨부가 들어오므로, 두 항목이 함께 걸려 있어야 메일 경로가 줄어듭니다.

사례: 첨부 유입 경로를 정리한 경우

상황은 직원 25명 조직입니다. 입력값은 확인일 2026년 10월 19일, 메일로 오가는 매크로 파일이 월 단위 정산 양식 1종, 외부 거래처에서 받는 매크로 파일 없음, 메일 계정 25개 중 다중 인증 미적용 6개입니다. 계산은 두 항목을 함께 적용하는 것입니다. 첫째 메일로 전달되는 파일의 매크로를 비활성화합니다. 둘째 정산 양식 1종은 공유 저장소에 두고 링크로 전달해 메일 경로에서 빼냅니다. 셋째 메일 계정 6개에 다중 인증을 적용해 미적용 0개로 만듭니다. 최종 결과는 메일 경유 매크로 실행 경로 0건, 업무 양식 1종 정상 운영, 메일 계정 다중 인증 25건입니다. 결과를 바꾸는 예외는 거래처가 매크로 파일을 메일로만 보내는 경우로, 그때는 지정된 담당자가 격리된 환경에서 여는 절차를 따로 만들어야 합니다. 다음 행동은 메일로 오가는 매크로 파일의 종류를 세어 보는 것입니다.

예외를 만들 때 함께 정해야 하는 것

예외는 피할 수 없는 경우에 생깁니다. 다만 예외를 허용할 때는 누가, 어떤 환경에서, 어떤 확인을 거쳐 여는지를 함께 정해야 합니다. 정하지 않으면 예외가 사실상 전면 허용이 됩니다. 같은 지침이 비활성·미승인 계정을 분기별로 검토하라고 적는 것처럼, 예외 목록도 주기를 정해 다시 보는 편이 안전합니다.

적용 확인은 받는 쪽에서 합니다

정책을 적용했다는 사실은 관리 화면이 아니라 받는 쪽 동작으로 확인합니다. 메일로 받은 파일을 열었을 때 매크로가 실행되지 않고 경고로 막히는지를 봅니다. 내부 공유 저장소의 파일은 영향을 받지 않는지도 함께 봅니다. 두 확인을 같이 해야 범위가 의도대로 잡혔는지 알 수 있습니다.

출처별로 달라지는 처리 기준