업무 메일은 표시된 발신자 이름만 믿지 말고 실제 주소, 도메인, 요청 맥락을 함께 확인해야 합니다. 예상하지 못한 견적서·이력서·공문 첨부파일은 바로 열지 말고 기존 연락처로 발신자에게 재확인하세요. 링크나 파일을 실행했다면 해당 PC를 네트워크에서 분리하고 메일 원본과 접속 기록을 보존한 뒤 보안 담당자와 KISA 118 등 관계기관에 신속히 알리는 것이 중요합니다.
익숙한 업무 제목도 안전을 보장하지 않습니다
공문, 견적서, 이력서, 거래명세서처럼 평소 자주 받는 제목은 경계심을 낮추기 쉽습니다. 하지만 공격자는 실제 업무 흐름처럼 보이는 제목과 파일명을 이용해 첨부파일 실행을 유도할 수 있습니다. 메일의 표현이 자연스럽다는 이유만으로 안전하다고 판단하지 마세요.
KISA는 2026년 국내 중소기업 대상 랜섬웨어 보안 권고에서 공문·이력서·견적서로 위장한 악성메일 첨부파일 실행 사례와 IT 서비스 업체를 사칭한 침입 사례를 안내했습니다. 예상하지 못한 첨부파일이라면 업무가 급해 보여도 열기 전에 별도 확인 절차를 거쳐야 합니다.
- 예상하지 못한 첨부파일은 즉시 열지 않기
- 파일명과 아이콘만으로 형식 판단하지 않기
- 긴급·마감·계정정지 표현이 판단을 재촉하는지 확인
표시 이름보다 실제 주소와 도메인을 봅니다
메일 화면에 보이는 이름은 거래처나 공공기관처럼 꾸밀 수 있습니다. 보낸 사람의 전체 이메일 주소를 펼쳐 보고 철자가 한 글자 바뀌었는지, 평소 쓰던 도메인과 다른지, 회신 주소가 따로 지정됐는지 확인하세요.
KISA의 ERP·그룹웨어·웹메일 피싱 보안 권고는 서비스 제공업체를 사칭한 메일이 가짜 로그인 화면으로 연결돼 계정정보를 탈취할 수 있다고 설명합니다. 메일 안 링크를 눌러 로그인하기보다 주소창에 평소 사용하던 서비스 주소를 직접 입력하거나 저장된 즐겨찾기로 접속하는 편이 안전합니다.
- 발신자 전체 주소와 회신 주소 확인
- 링크 위에 마우스를 올려 실제 이동 주소 확인
- 메일 링크 대신 정상 사이트 주소를 직접 입력
돈과 파일 요청은 기존 연락처로 재확인합니다
입금 계좌 변경, 긴급 송금, 세금계산서 재발행, 새 공유문서 확인처럼 금전이나 계정정보가 관련된 요청은 메일 회신만으로 확인하지 마세요. 해당 메일에 적힌 전화번호가 아니라 이전 계약서나 사내 주소록에 저장된 연락처로 담당자에게 직접 확인해야 합니다.
첨부파일이 필요한 업무라면 발신자가 보낸 시각, 파일명, 요청 목적을 짧게 교차 확인하세요. 조직 내부에서는 송금·계좌 변경과 관리자 로그인 요청에 2인 확인을 적용하고, 한 사람이 자리를 비운 경우의 대체 승인자도 미리 정해 두는 것이 좋습니다.
- 기존에 확인된 전화번호로 발신 사실 재확인
- 계좌 변경과 긴급 송금은 2인 승인
- 비밀번호·인증번호를 요구하는 메일에는 입력 금지
첨부파일을 다루는 PC의 기본 방어를 유지합니다
정상 업무 메일에도 감염된 파일이 전달될 수 있으므로 운영체제, 브라우저, 문서 프로그램, 백신을 최신 상태로 유지해야 합니다. 매크로 사용을 요구하거나 보안 경고를 끄라고 안내하는 문서는 실행을 중단하고 보안 담당자에게 전달하세요.
에스원 엔드포인트보안 플랫폼 안내는 파일첨부 통제, 바이러스 실시간 감시와 치료, 랜섬웨어 탐지·차단 같은 기능을 소개합니다. 보안 솔루션 도입 여부와 별개로 누가 차단 알림을 확인하고, 예외 파일을 어떤 절차로 승인하며, 감염 의심 PC를 어떻게 분리할지 운영 기준을 함께 정해야 합니다.
- 운영체제·문서 프로그램·백신 최신 상태 유지
- 매크로 실행과 보안 기능 해제 요구 거절
- 메일·메신저 파일 예외 승인 담당자 지정
열었다면 삭제보다 격리와 기록이 먼저입니다
의심 파일을 실행했거나 가짜 로그인 화면에 정보를 입력했다면 PC의 유선·무선 네트워크 연결을 끊고 즉시 내부 담당자에게 알리세요. 전원을 바로 끄거나 메일과 파일을 삭제하면 원인 분석에 필요한 흔적이 사라질 수 있으므로 담당자의 지시에 따라 보존 범위를 정하는 것이 좋습니다.
메일 원본, 첨부파일, 발신·수신 시각, 전체 헤더, 접속한 주소, 화면 캡처, 계정 로그인 기록을 확보하세요. 계정정보를 입력했다면 정상 사이트에서 비밀번호를 변경하고 다른 곳에서 같은 비밀번호를 쓴 계정도 점검하며, 다중인증과 기존 로그인 세션 종료를 적용해야 합니다. 침해가 의심되면 KISA 보호나라 침해사고 신고 또는 국번 없이 118을 통해 대응 절차를 확인할 수 있습니다.
- 감염 의심 PC를 네트워크에서 우선 분리
- 메일 원본·전체 헤더·접속 기록 보존
- 정상 기기에서 비밀번호 변경과 세션 종료
- KISA 118 및 내부 사고 대응 담당자에게 신고
이 주제로 함께 많이 찾는 안내
자주 묻는 질문
Q. 거래처 주소에서 온 메일이면 첨부파일을 바로 열어도 되나요?
아닙니다. 거래처 계정 자체가 탈취됐거나 표시 주소가 위조됐을 수 있습니다. 평소와 다른 요청, 예상하지 못한 파일, 계좌 변경이 포함됐다면 기존에 확인된 연락처로 발신 사실을 다시 확인하세요.
Q. 의심 파일을 열었지만 아무 변화가 없으면 괜찮은가요?
화면에 변화가 없어도 악성코드가 실행되거나 계정정보가 전달됐을 수 있습니다. 네트워크를 분리하고 메일과 접속 기록을 보존한 뒤 보안 담당자에게 알려 점검받는 것이 안전합니다.
참고 출처 및 업데이트
KISA 보호나라 보안공지, 국내 중소기업 대상 신규 랜섬웨어 범죄 확산에 따른 보안 권고문, 작성기관 한국인터넷진흥원, 작성일 2026-04-16, 수집일 2026-07-31KISA 보호나라 보안공지, ERP·그룹웨어·웹메일 대상 피싱 공격 주의 및 보안 강화 권고, 작성 위협분석단 사고분석2팀, 작성일 2024-11-26, 수집일 2026-07-31에스원 엔드포인트보안 플랫폼(SESP) 안내, 작성기관 에스원, 작성일 미표기, 수집일 2026-07-31최초 작성 2026-07-31 · 최종 수정 2026-07-31
