업무용 메일의 자동 전달, 필터, 받은편지함 규칙을 정기적으로 확인하고 외부 주소로 보내거나 특정 메일을 삭제·숨김·읽음 처리하는 낯선 규칙은 즉시 조사하세요. 의심 규칙을 발견하면 화면과 설정값, 생성 시각을 먼저 기록한 뒤 규칙을 중지하고 비밀번호·다중인증·활성 세션을 함께 재설정해야 합니다. 전달된 메일의 기간과 수신처, 로그인·규칙 변경 기록을 보존하고 개인정보나 거래정보의 노출 가능성을 내부 담당자와 공식 절차에 따라 판단하세요.
자동 전달과 필터 규칙도 계정 권한처럼 점검합니다
받은편지함 규칙은 메일을 분류하는 편리한 기능이지만 계정이 침해되면 외부 주소로 복사하거나 중요한 경고를 사용자 눈에서 감추는 수단이 될 수 있습니다. 사용자 화면의 자동 전달, 필터, 규칙 목록뿐 아니라 관리자가 설정한 메일 흐름과 위임 권한도 함께 확인하세요.
미국 CISA의 Exchange Online 보안 구성 기준은 외부 도메인으로의 자동 전달을 차단하도록 권고하며, 외부 공격자가 자동 전달을 지속적인 메일 접근에 악용할 수 있다고 설명합니다. 업무상 외부 전달이 꼭 필요하다면 전사 허용보다 승인된 주소와 기간을 한정하고 담당자와 종료일을 기록하는 편이 안전합니다.
- 사용자 규칙·자동 전달·관리자 메일 흐름 함께 조회
- 외부 주소 전달은 기본 차단하고 예외만 승인
- 예외 목적·수신처·승인자·종료일 기록
외부 주소뿐 아니라 숨김·삭제·읽음 처리도 살핍니다
공격자는 모든 메일을 전달하는 눈에 띄는 규칙 대신 송장, 결제, 보안 경고 같은 특정 단어만 골라 다른 폴더로 옮기거나 읽음 처리할 수 있습니다. 낯선 규칙 이름, 비어 있는 조건, 예상하지 못한 폴더, 자동 삭제와 전달 후 원본 삭제 여부를 하나씩 확인하세요.
Microsoft의 사고 조사 지침은 침해된 계정에서 외부 전달, 삭제, 눈에 띄지 않는 폴더로 이동, 읽음 처리 규칙이 사용될 수 있다고 안내합니다. 정상 규칙처럼 보여도 만든 사람과 업무 목적을 확인할 수 없거나 최근 갑자기 생성됐다면 임의로 정상 처리하지 말고 조사 대상으로 분류하세요.
- 송장·결제·보안 경고 등 특정 단어 조건 확인
- 숨은 폴더 이동·자동 삭제·읽음 처리 점검
- 규칙 생성자·생성 시각·업무 목적 대조
규칙을 지우기 전에 화면과 설정값을 보존합니다
의심 규칙을 발견하면 곧바로 삭제해 흔적을 없애기보다 규칙 이름, 조건, 동작, 전달 대상, 예외, 활성 상태와 발견 시각을 먼저 기록하세요. 가능하면 관리자 감사 로그에서 누가 언제 어떤 IP와 기기로 규칙을 만들거나 바꿨는지 확인하고 관련 로그인 알림과 원본 메일도 함께 보존합니다.
증거를 확보한 뒤 의심 규칙을 중지하거나 삭제하고, 같은 계정에 등록된 다른 규칙과 위임 사용자, 연결 앱, 앱 비밀번호를 점검하세요. 전달 대상 주소로 실제 메일이 나갔는지는 규칙 존재만으로 단정하지 말고 서비스의 메시지 추적·감사 기능과 보존된 기록으로 확인해야 합니다.
- 규칙 조건·동작·대상·시각을 먼저 기록
- 규칙 변경·로그인·메시지 추적 로그 보존
- 위임 사용자·연결 앱·앱 비밀번호 함께 확인
규칙 차단과 계정 복구를 한 번에 진행합니다
의심 규칙만 삭제하고 기존 비밀번호와 세션을 그대로 두면 공격자가 다시 접속해 규칙을 만들 수 있습니다. 규칙을 비활성화한 뒤 계정을 잠그거나 비밀번호를 바꾸고 활성 세션을 종료하며, 등록된 다중인증 수단과 복구 연락처가 실제 사용자와 조직 소유인지 확인하세요.
Microsoft는 악성 받은편지함 규칙이 확인되면 해당 규칙 비활성화, 사용자 자격증명 재설정, 같은 계정과 조직 내 다른 의심 활동 조사를 권고합니다. KISA도 이메일 계정에 2단계 인증을 적용하고 로그인 이력을 수시로 확인하도록 안내하므로 복구 뒤에는 정상 기기에서 새 인증수단을 등록하고 최근 접속 기록을 사용자와 함께 검토하세요.
- 의심 규칙 중지 뒤 비밀번호 재설정
- 활성 세션·연결 앱 종료와 인증수단 재등록
- 동일 IP·수신처·유사 규칙이 있는 다른 계정 확인
전달 범위와 포함 정보를 확인해 후속 대응합니다
외부 전달이 의심되면 규칙이 활성화된 기간, 실제 수신 주소, 전달된 메일의 제목·발신자·첨부파일과 포함된 개인정보·거래정보를 목록화하세요. 거래처 대화가 노출됐다면 계좌 변경이나 긴급 송금 요청이 이어질 수 있으므로 관련 담당자에게 별도 연락 채널로 주의를 알리고 결제 절차를 강화합니다.
개인정보나 기밀정보가 포함됐다면 접속 흔적이 적다는 이유만으로 영향이 없다고 자체 종결하지 마세요. 원본 로그와 메일을 보존한 상태에서 개인정보보호·보안 담당자에게 보고하고, 관계 법령과 조직의 사고 대응 절차에 따라 신고·통지 필요성을 판단하세요. 복구 후에는 외부 전달 정책과 규칙 변경 알림, 정기 점검 책임자를 보완합니다.
- 활성 기간·외부 수신처·전달 메일 범위 확인
- 거래처 사칭 가능성을 관련 부서에 별도 경보
- 개인정보 포함 여부와 신고·통지를 공식 절차로 판단
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 자동 전달 규칙을 모두 금지해야 하나요?
업무상 필요한 내부 전달까지 일률적으로 막기보다 외부 주소 전달을 기본 차단하고 승인된 업무 예외만 대상, 기간과 책임자를 정해 허용하세요. 종료일에 실제로 해제됐는지도 확인해야 합니다.
Q. 규칙을 삭제했으면 비밀번호도 바꿔야 하나요?
본인이 만들지 않은 규칙이라면 계정 침해 가능성을 전제로 비밀번호를 재설정하고 활성 세션, 다중인증 수단, 복구 연락처, 위임 권한과 연결 앱을 함께 점검하세요.
Q. 외부로 실제 전달됐는지 어떻게 확인하나요?
메일 서비스의 메시지 추적, 감사 로그와 규칙 활성 기간을 대조하세요. 기능과 보존기간은 서비스마다 다르므로 관리자 또는 제공업체 지원을 통해 원본 기록을 확보하고 임의로 삭제하지 마세요.
참고 출처 및 업데이트
KISA 보호나라&KrCERT/CC, 만화로 보는 알기쉬운 해킹메일 대처법, 작성기관 한국인터넷진흥원, 작성자 미표기, 작성일 2019-07-04, 수집일 2026-08-21Microsoft Learn, Alert classification for suspicious inbox manipulation rules, 작성기관 Microsoft, 작성자 미표기, 최종수정일 2026-07-02, 수집일 2026-08-21CISA, Secure Cloud Business Applications: Exchange Online Secure Configuration Baseline, 작성기관 미국 사이버보안 및 인프라 보안국(CISA), 작성자 미표기, 최종수정일 2023-06, 게시일 2023-12, 수집일 2026-08-21최초 작성 2026-08-21 · 최종 수정 2026-08-21
