CEO 사칭 이메일을 받은편지함에 도달하기 전에 차단한 방법

가짜 CEO 이메일이 직원들을 LINE 그룹으로 유도하려 했습니다. 이제 Microsoft 365 메일 흐름 규칙 두 개가 전달 전에 이를 격리합니다.

누군가 당사 CEO를 사칭하여 LOGIQ 직원들에게 이메일을 보내 왔습니다. 2026년 11월 12일, 저희는 Microsoft 365에 메일 흐름 규칙을 적용했습니다. 이제 이런 이메일은 누구의 받은편지함에도 도달하기 전에 격리됩니다. 무슨 일이 있었는지, 무엇을 설정했는지, 그리고 다른 기업이 그대로 적용할 수 있는 점을 소개합니다.

무슨 일이 있었나

이메일은 LOGIQ 외부 주소에서 발송되었습니다. 발신자 표시 이름에는 당사 CEO의 이름이 표시되어 있어, 언뜻 보면 CEO 본인이 보낸 것처럼 보였습니다. 요청은 항상 같았습니다. 메시징 앱인 LINE에서 그룹을 만들고 그 QR 코드나 초대 링크를 회신해 달라는 것이었습니다.

이메일 자체에서는 돈이나 비밀번호를 요구하지 않았습니다. 바로 그것이 이 수법의 핵심입니다. 이메일은 당사 메일 보안이 대화를 볼 수 없는 채널로 상대를 옮기기만 하면 됩니다. 진짜 요구(대개 송금, 기프트 카드 구매 또는 기밀 파일)는 그다음에 옵니다.

이 사기가 통하는 이유

이 수법은 대부분의 사람이 가진 세 가지 습관을 노립니다.

• 주소가 아니라 이름을 읽습니다. 대부분의 메일 앱은 표시 이름을 먼저 보여 주고 실제 주소는 숨깁니다. 무료 이메일 계정이라면 누구나 원하는 표시 이름을 설정할 수 있습니다.
• 상사의 요청에는 그대로 따릅니다. CEO가 보낸 짧고 약간 급한 메모에는 질문하기 어렵습니다.
• 첫 요청은 무해해 보입니다. 채팅 그룹을 만드는 일은 별것 아닌 것처럼 느껴집니다. 하지만 대화가 회사 이메일을 벗어나는 순간, 필터와 로그, 동료들은 더 이상 그 대화를 볼 수 없습니다.

설정한 내용

Microsoft 365에 메일 흐름 규칙(전송 규칙이라고도 함) 두 개를 추가했습니다. 이 규칙은 메시지가 받은편지함에 도달하기 전에 서버에서 실행되므로, 누구도 직접 사기를 알아챌 필요가 없습니다.

규칙	탐지 대상	처리 방식
표시 이름 사칭	LOGIQ 외부에서 온 이메일 중 발신자 표시 이름이 당사 경영진을 흉내 낸 것(라틴 문자와 일본어 표기 모두)	격리하고, 탐지될 때마다 경영진에 보고
외부 채널 유도	LOGIQ 외부에서 온 이메일 중 LINE 그룹 QR 코드나 초대 링크를 요청하는 등 대화를 채팅 앱으로 옮기려는 것	격리

첫 번째 규칙의 논리는 간단합니다. 당사 경영진은 @logiqlinux.com 주소로만 지시를 보냅니다. 따라서 외부 이메일이 CEO의 이름을 사용한다면 그 자체로 사기이며, 전달할 이유가 없습니다.

격리된 메시지는 30일간 보관됩니다. 정상 메시지가 실수로 걸리더라도 관리자가 해제할 수 있습니다.

사람이 지키는 방어선

필터는 대부분의 시도를 막지만 전부는 아닙니다. 그래서 규칙과 함께 LOGIQ 구성원 모두가 알고 있는 명확한 정책을 두고 있습니다.

• 경영진은 사내 채널을 통해서만 지시하며, 외부 이메일 주소로 지시하지 않습니다.
• LOGIQ는 업무를 개인 채팅 그룹으로 옮기라고 요청하지 않습니다.
• 의심스러운 메시지가 도착하더라도 그대로 따르지 마십시오. 신고해 주시면 규칙을 더 강화하겠습니다.

이런 정책이 있으면 직원의 판단이 쉬워집니다. 메시지가 진짜처럼 ‘느껴지는지’ 판단할 필요가 없습니다. 규칙에 어긋나면 가짜입니다.

다른 기업이 할 수 있는 일

반나절이면 설정할 수 있습니다. 다음을 권장합니다.

1. 경영진의 이름을 사용하는 외부 이메일을 격리하십시오. Microsoft 365에서 발신자가 조직 외부이고 보낸 사람 표시 이름에 경영진의 이름이 포함된 경우에 적용되는 메일 흐름 규칙을 만드십시오. 직원들이 알아볼 수 있는 모든 표기와 문자를 포함하십시오.
2. 대화를 이메일 밖으로 옮기려는 시도를 격리하십시오. 채팅 그룹 초대, QR 코드, 개인 메신저 계정을 요구하는 문구를 탐지하고, 규칙은 외부 발신자로 한정하십시오.
3. 삭제하지 말고 격리하십시오. 실수로 걸린 메시지는 해제할 수 있고, 증거도 보존됩니다.
4. 탐지될 때마다 조치할 담당자에게 알리십시오. 탐지 건수가 갑자기 늘면 회사가 표적이 되고 있다는 조기 경보입니다.
5. 경영진이 실제로 어떻게 소통하는지 명문화하십시오. ‘지시는 회사 주소로, 사내 채널을 통해서만 온다’는 한 문장이 직원들에게 간단한 판단 기준이 됩니다.
6. 기본 보호 기능도 켜십시오. 외부 발신자에 경고 태그를 표시하고, 라이선스에 포함되어 있다면 피싱 방지 정책의 사칭 보호를 활성화하십시오.
7. 예외는 최소화하고 비공개로 유지하십시오. 예외로 둔 발신자는 모두 보안의 틈입니다. 목록을 정기적으로 검토하고 절대 공개하지 마십시오.

결론

CEO 사칭에는 해킹이 필요 없습니다. 그럴듯한 표시 이름과 대화를 다른 곳으로 옮길 핑계만 있으면 됩니다. 서버 측 규칙은 이메일을 읽는 사람에게서 그 선택을 없애 주고, 규칙이 놓친 부분은 명확한 정책이 보완합니다.

메일 흐름 규칙 설정이나 이메일 보안 점검에 도움이 필요하신가요? LOGIQ 팀에 문의하십시오.

Photo: Anete Lusina / Pexels