日本語에서 번역 • 원문 보기 
주요 요점
Microsoft 365의 Direct Send 기능은 기본적으로 활성화되어 있어 모든 회사에 공격 위험이 있습니다. 별도로 설정되지 않는 한, 누구나 이 기능을 이용한 공격에 취약합니다.
직접 전송이란 무엇인가요? 직접 전송은 Microsoft 365의 SMTP 기능으로, 외부 인증 없이 Exchange Online을 통해 이메일을 보낼 수 있게 해줍니다.
주요 응용 분야:
- MFP에서 온 알림 이메일을 스캔하세요
- 애플리케이션에서 알림 알림
- 내부 이메일 전송
예시: SMTP 서버 = company-com.mail.protection.outlook.com
이 기능은 유용하지만 **인증을 하지 않아 남용 위험이 있습니다. **
직접 전송을 이용한 피싱 수법
공격자들은 직접 전송을 다음과 같은 방식으로 악용합니다:
- M365 테넌트 활용 또는 획득
- 직접 전송을 사용하여 발신자 이름이나 도메인을 "스푸핑"하는 이메일을 보냅니다
- 많은 보안 제품들이 익스체인지 온라인에서 나옵니다
예시: 위조된 이메일의 내용
제목: 가능한 한 빨리 확인해 주세요: 내부 자료 업데이트
전체 텍스트: 아래 링크에서 로그인하여 자료를 확인해 주세요.
링크: 'https://malicious.example-login.com'
최근 동향
- 2024년 이후 일본에서 직접 송금 남용 사례가 다수 보고되었습니다
- 중소기업의 M365 환경을 디딤돌로 삼아 비즈니스 파트너를 겨냥한 공격이 명확해졌습니다.
- SPF/DKIM/DMARC가 없는 도메인은 악용에 취약합니다
어떻게 다뤄야 할까
1. 직접 전송 제한 및 비활성화
- 커넥터 설정에서 IP 제한 적용
- SMTP 인증 방식으로 변경하고 발신자 인증을 의무화했습니다
- 사용하지 않을 경우에는 완전히 비활성화하는 것이 가장 좋습니다
- 거부 기능을 활성화하여 비활성화하세요 (비즈니스에 미치는 영향 확인!) )
'Set-OrganizationConfig -RejectDirectSend $true'
2. 향상된 이메일 인증 (SPF, DKIM, DMARC)
SPF: 발신자 IP를 설정하여 신뢰할 수 있는 IP만 이메일 전송을 허용하고 제한합니다. 직접 전송의 경우, Microsoft의 IP 범위를 허용하세요.
DKIM: 전자 서명을 부여하여 이메일 변조를 감지할 수 있게 합니다. 외부 공격으로 인한 변조를 효과적으로 찾아냅니다.
DMARC: 이메일 수신자가 사기 이메일을 처리할 수 있도록 정책 통제를 구현합니다. 점차 '없음→ 격리→ 차단 강화하는 것이 권장됩니다.
3. Office 365용 마이크로소프트 디펜더 활용
- 안전한 링크/안전 첨부파일을 사용하여 URL 및 첨부파일을 검사합니다
- 신원 탐지 정책 설정
- 공격 캠페인 감지 표시
영향과 주의사항
먼저 아무것도 없고 모니터링하고, 로그를 통해 실제 상황을 파악한 후 단계별로 적용하는 것이 권장됩니다.
직접 전송 비활성화: MFP나 비즈니스 앱에서 이메일을 보낼 수 없을 수 있으니, 미리 영향 범위를 확인하세요.
향상된 SPF: 잘못된 설정이 합법적인 이메일 전달을 방해할 수 있으니 신중하게 설정하세요.
DMARC "거부" 신청: 오탐으로 인해 이메일이 도착하지 않을 위험이 있으므로, 먼저 아무 일도 모니터링하지 않고 로그를 통해 실제 상황을 파악한 후 단계별로 적용하는 것이 권장됩니다.
⚠ > **즉시 '완전히 차단'하기보다는 먼저 '아무 신호도 없다'고 모니터링하고 로그 실제 상황을 파악한 후 단계별로 적용하는 것이 권장됩니다. **
결론
직접 전송은 설정 없이도 작동할 수 있는 편리하지만 매우 위험한 기능입니다.
방치되면 귀사가 피싱의 디딤돌로 이용될 위험이 있어 고객과 비즈니스 파트너의 신뢰가 훼손될 수 있습니다.
지금 확인 **해! **
- 사내에서 직접 보내는 기능을 사용하고 있나요?
- 커넥터 설정에 IP 제한이 있나요?
- SPF/DKIM/DMARC가 제대로 설정되어 있나요?
보안은 "사용하지 않는 기능 중지"와 "시각화 및 모니터링"에 기반합니다. 지금 검토하고 이메일을 안전하게 운영하도록 노력하세요.