Outlook Web App 보안: MFA를 통해 Exchange 보호하기

소개

원격 액세스 보안에 관한 대부분의 논의는 VPN에서 시작됩니다. Outlook Web App(OWA)에서 시작하는 논의는 거의 없는데, OWA가 실제로 무엇인지 고려하면 이는 이상한 공백입니다. OWA는 공개 인터넷상에 위치해 있으며, 어디서든 어떤 기기의 어떤 브라우저를 통해서든 접속할 수 있는 기업용 이메일 로그인 양식이기 때문입니다. 구성해야 할 VPN 클라이언트도, 우회해야 할 방화벽 규칙도, 경유해야 할 네트워크 세그먼트도 없습니다. 단지 사용자 이름 입력란, 비밀번호 입력란, 그리고 Exchange 서버가 허용하기로 결정한 정보만 있을 뿐입니다.

공격자에게 있어 이는 메일함으로 직행하는 길과 다름없습니다. OWA 로그인이 해킹당하면, 횡방향 이동 없이도 위험해집니다. 메일박스 자체가 바로 표적이기 때문에, 이미 그 순간부터 위험합니다. 기업 이메일 침해(BEC)는 악성코드도, 익스플로잇도 필요하지 않으며, 네트워크 침입 탐지를 위해 구축된 대부분의 도구도 우회합니다. 필요한 것은 유효한 인증 정보 한 세트와 그 외에는 아무것도 요구하지 않는 로그인 페이지뿐입니다.

온프레미스 및 하이브리드 Exchange에 MFA가 무료로 제공되지 않는 이유

이 부분에서 혼란을 느끼는 것은 이해할 수 있습니다. Exchange Online을 사용하는 Microsoft 365 테넌트는 실제로 강력한 인증을 거의 자동으로 적용받기 때문입니다. Entra ID 조건부 액세스 정책은 세션 토큰이 발급되기 전에 신원 계층에서 MFA를 요구할 수 있으며, 이러한 보호 기능은 Exchange 관련 별도 구성 없이도 웹 기반 Outlook까지 확장됩니다. 순수 클라우드 환경에서만 작업해 온 보안 팀은 웹메일용 MFA가 Exchange의 기본 작동 방식이라고 합리적으로 가정합니다.

온프레미스 및 하이브리드 Exchange는 이러한 동작을 상속받지 않습니다. Exchange Server 자체의 인증 스택(OWA 및 Exchange 관리 센터를 처리하는 클라이언트 액세스 서비스 역할)은 Active Directory를 기준으로 사용자 이름과 암호를 검증하며, 추가 구성이 없는 한 이것이 인증 결정의 전부입니다. 온프레미스 OWA 로그인에는 기본적으로 내장된 두 번째 인증 요소가 없습니다. 하이브리드 배포 환경에서는 상황이 더욱 복잡해집니다. 일부 사서함은 이미 Exchange Online으로 이전되어 조건부 액세스(Conditional Access)의 적용을 받는 반면, 다른 사서함은 온프레미스에 남아 있어 하이브리드 현대식 인증(Hybrid Modern Authentication)이나 다른 MFA 솔루션이 명시적으로 구성되지 않은 한 여전히 Exchange Server 자체의 인증 경로를 따를 수 있습니다. 조직에서는 테넌트 전체에 대해 “MFA로 보호된다”고 믿을 수 있지만, 실제로는 상당수의 사서함이 여전히 비밀번호만 사용하는 온프레미스 OWA 뒤에 남아 있을 가능성이 충분히 있습니다.

이것이 운영상 중요한 격차입니다. 온프레미스 Exchange가 설계상 본질적으로 보안이 취약하기 때문이 아니라, 두 번째 인증 요소를 추가할 책임이 전적으로 Exchange 관리자에게 지워지며, 이를 대체할 기본 설정이 없기 때문입니다.

해킹당한 OWA 또는 EAC 계정이 공격자에게 실제로 제공하는 것

단일 OWA 자격 증명의 가치를 “그저 이메일일 뿐”이라고 생각한다면 그 중요성을 쉽게 과소평가하기 쉽습니다. 실제로, 해킹당한 사서함 계정은 여러 가지 뚜렷한 공격 경로가 분기되는 발판 역할을 합니다.

비즈니스 이메일 사기(BEC)는 재정적으로 가장 직접적인 피해를 입힙니다.

비즈니스 이메일 사기(BEC)는 금전적 피해 측면에서 가장 직접적인 공격 방식입니다. FBI의 인터넷 범죄 신고 센터(IC3)에 따르면, 2025년 미국에서 보고된 BEC 관련 손실액은 30억 4,600만 달러로, 투자 사기에 이어 두 번째로 높은 손실 범주에 속하며, 약 24,768건의 신고에 걸쳐 분포되어 있습니다. 확인된 사건당 평균 손실액은 12만 달러를 상회합니다. BEC 공격의 특징은 보안 필터가 탐지할 수 있는 악성코드나 악성 링크가 전혀 포함되지 않는다는 점입니다. 공격자는 합법적인 메일함 내부에 침투해 합법적인 주소에서 이메일을 발송하며, 종종 기존 대화 스레드 내에서 은행 계좌번호를 조작하거나 청구서를 재전송하는 방식으로 답장을 보냅니다. 메일 흐름 규칙으로 인해 사후에 이 기법을 포착하기가 더욱 어려워집니다. 메일함 접근 권한을 가진 공격자는 “청구서”, “송금”, “결제”와 같은 단어가 포함된 메시지를 자동으로 전달하거나 삭제하는 수신함 규칙을 생성할 수 있으며, 이로 인해 계정 소유자는 침해 사실을 전혀 눈치채지 못한 채 사기성 대화가 병행되어 진행됩니다.

대리 권한은 이러한 위험성을 가중시킵니다.

대리 권한은 이러한 노출 위험을 가중시킵니다. 임원 비서나 재무팀 구성원은 일반적인 업무 흐름의 일환으로 임원의 메일함에 대한 대리 권한 또는 “대신 보내기” 권한을 자주 보유하고 있습니다. 즉, 단 한 명의 비서 계정만 해킹당해도 해당 임원의 인증 정보를 전혀 건드리지 않고도 CFO나 CEO가 직접 보낸 것처럼 보이는 메시지를 보낼 수 있습니다.

데이터 유출은 눈에 덜 띄는 위험이지만

데이터 유출은 눈에 덜 띄는 위험이지만, 규제 대상 조직에 있어서는 종종 더 심각한 결과를 초래합니다. 사서함에는 수년간의 첨부 파일, 내부 메모, 인사 관련 서신, 고객과의 소통 내역이 축적되어 있으며, 공격자가 인증만 완료되면 OWA의 자체 인터페이스를 통해 이 모든 자료에 접근할 수 있습니다. 공격자는 합법적인 OWA 기능을 사용하여 사서함 콘텐츠에 접근하고 다운로드할 수 있으므로 별도의 데이터 유출 도구가 필요하지 않습니다.

접근 방식 1: OWA 및 EAC 로그인에 직접 적용되는 MFA

가장 표적화된 해결책은 Active Directory에 연결된 다른 요소에는 손을 대지 않으면서 위험에 노출된 특정 영역만을 해결합니다. Outlook Web App 및 Exchange 관리 센터(EAC)용 MFA는 Exchange 클라이언트 액세스 서비스 역할의 구성 요소로 설치되며, Exchange의 인증 메커니즘을 완전히 대체하는 대신 기존 OWA 및 EAC 로그인 페이지 앞에 배치됩니다. 설치가 완료되면 사용자는 먼저 평소 사용하는 AD 사용자 이름과 비밀번호로 인증한 후, 세션이 허용되기 전에 인증기 앱이나 하드웨어 토큰에서 생성된 일회용 비밀번호(OTP)를 입력하거나 푸시 알림을 승인하는 등 두 번째 인증 단계를 완료해야 합니다.

적용 범위는 설치 시 Active Directory 그룹 멤버십을 통해 설정됩니다. 관리자는 전체 사용자에게 즉시 MFA를 적용하도록 요구할 수도 있고, 광범위한 배포를 계획하는 동안 초기에는 단일 AD 그룹(예: 시범 그룹 또는 Exchange 관리 센터 액세스 권한을 가진 특정 그룹)에 대해만 활성화할 수도 있습니다. 이러한 구분은 실제로 중요합니다. EAC 계정은 개별 사서함보다 조직에 훨씬 더 큰 위험을 초래하기 때문입니다. EAC 액세스 권한이 있는 관리자 계정은 전체 Exchange 환경에서 메일 흐름 규칙을 생성하거나, 권한을 수정하거나, 데이터를 내보낼 수 있습니다. 바로 이 때문에 전체 사용자 적용에 더 오랜 시간이 걸리더라도 EAC 로그인을 보호하는 것이 우선순위가 되는 경향이 있습니다.

세션 동작은 고정된 것이 아니라 구성 가능합니다. 관리자는 사용자에게 새로운 OTP를 다시 입력하도록 요청하는 빈도(예: OWA를 연속으로 12시간 사용할 때마다 한 번)를 설정하여, 반복적인 인증으로 인한 불편함과 공유되거나 관리되지 않는 장치에서 장시간 방치된 세션이 발생할 위험 사이의 균형을 맞출 수 있습니다. 이 구성 요소는 HOTP, TOTP 및 챌린지-응답 방식의 OCRA를 지원하여, 다양한 유형의 OTP 토큰을 사용하는 조직에 유연성을 제공합니다.

접근 방식 2: Active Directory 수준에서 OWA를 포함한 모든 서비스에 적용되는 MFA

OWA 전용 구성 요소를 배포하기 전에 고려해 볼 만한 보다 구체적인 질문은 다음과 같습니다. OWA가 실제로 여전히 비밀번호만으로 인증하는 유일한 AD 연결 서비스일까요? 대부분의 온프레미스 환경에서 솔직한 대답은 ‘아니오’입니다. Winlogon, RDP, 그리고 종종 내부 LDAP 기반 애플리케이션들도 같은 상황에 놓여 있으며, AD가 적용하는 비밀번호 정책 외에는 아무런 보호 조치도 받지 못하고 있습니다.

디렉터리 수준의 다단계 인증은 개별 서비스의 로그인 페이지가 아닌 Active Directory 자체와 통합함으로써 이러한 광범위한 취약점을 해결합니다. OWA용 구성 요소 하나, RDP용 별도 에이전트, VPN용 RADIUS 프록시 등 각각 독립적으로 설치, 구성 및 유지 관리되는 일련의 개별 MFA 배포 대신, 디렉터리 수준 통합은 정적 비밀번호를 시간 기반 동적 비밀번호로 대체함으로써 Active Directory에서 사용자 자격 증명이 작동하는 방식을 변경합니다. 따라서 AD에 연결된 서비스는 각 서비스마다 별도의 MFA 구성 요소가 필요 없이 동일한 동적 자격 증명을 사용할 수 있습니다. OWA가 포함되는 이유는 OWA가 특별히 대상이 되었기 때문이 아니라, AD를 참조하는 다른 모든 요소와 마찬가지로 이제 동일한 동적 자격 증명 검사를 충족해야 하기 때문입니다.

이러한 접근 방식의 장단점은 ‘접근 방식 1’과는 반대 방향으로 나타납니다. 즉, 더 광범위한 적용 범위를 확보하는 대신 환경 전반에 걸쳐 AD 인증 동작 방식에 더 광범위한 변경이 수반되며, 이는 일반적으로 단일 서비스인 OWA 구성 요소보다 더 신중한 테스트와 단계적 배포를 필요로 합니다. 두 가지 중 올바른 선택은 실제로 적용 범위에 달려 있습니다. AD에 연결된 보호되지 않은 표면이 OWA뿐인 조직은 이를 해결하기 위해 디렉터리를 건드릴 필요가 없습니다. 반면, OWA, RDP, Winlogon이 모두 비밀번호만 사용하는 인증 방식을 사용하고 있음을 발견한 조직은 단일 서비스 수정만으로는 해결할 수 없는 더 광범위한 문제를 안고 있는 것입니다.

엔드포인트 에이전트 없이 디렉터리 수준 메커니즘이 작동하는 방식

디렉터리 수준 MFA의 작동 원리는 그 자체로 이해할 가치가 있습니다. 이는 개별 워크스테이션이나 서버에 아무것도 설치하지 않고도 모든 AD 연결 서비스에 적용될 수 있는 이유를 설명해 주기 때문입니다.

동적 강력한 비밀번호 인증(Dynamic Strong Password Authentication)은 각 엔드포인트에서 인증 트래픽을 가로채는 대신, Active Directory 자체에 저장된 비밀번호를 수정하는 방식으로 작동합니다. 사용자의 고정 비밀번호는 관리자가 설정한 간격(이 값은 30초의 배수여야 함)에 따라 자동으로 변경되는 TOTP 기반의 순환 동적 비밀번호로 대체됩니다. 현재의 동적 비밀번호는 TOTP 알고리즘을 사용하여 생성되며, 사용자는 Protectimus SMART 앱이나 지원되는 챗봇을 통해 이를 확인할 수 있습니다. 변경이 디렉터리 내에서 직접 이루어지기 때문에, AD를 통해 인증하는 모든 클라이언트나 서비스(Winlogon, RDP, OWA, LDAP 기반 애플리케이션 등)는 해당 서비스가 변경 사실을 알 필요 없이 자동으로 현재의 동적 비밀번호를 사용합니다.

이것이 바로 중요한 의미에서 이 접근 방식을 ‘에이전트리스’로 만드는 이유입니다. 즉, 노트북, RDP 호스트 또는 Exchange 클라이언트 액세스 서버에서 2단계 인증을 확인하는 소프트웨어가 실행되지 않습니다. 디렉터리 자체가 적용 지점입니다. 이에 따른 장단점은, 도메인 컨트롤러와의 직접적인 통합이 필요하기 때문에 이 구성 요소가 클라우드 전용 서비스가 아닌 온프레미스 배포의 일부로 실행된다는 점입니다.

적용 범위 선택: 웹메일만, 아니면 전체 AD 환경

두 접근 방식 모두 근본적인 문제, 즉 비밀번호만으로는 더 이상 인증에 충분하지 않다는 점을 해결하지만, 스택의 서로 다른 지점에서 이를 해결하므로 올바른 선택은 단순한 기본 선호도가 아닌, 정직한 현황 파악에 달려 있습니다.

만약 OWA와 EAC가 진정으로 비밀번호만으로 AD에 대해 인증을 수행하는 유일한 서비스라면(VPN은 이미 RADIUS를 통해 처리되고, RDP는 이미 보안이 강화되었으며, AD 자격 증명을 은밀히 신뢰하는 다른 레거시 애플리케이션이 없는 경우), 대상 OWA 구성 요소는 디렉터리를 통해 실행되는 다른 모든 시스템에 대한 방해를 최소화하면서 해당 특정 취약점을 해결합니다. 만약 현황 조사 결과 노출된 서비스가 두 개 이상 발견된다면(IT 팀이 실제로 조사해 보면 흔히 발견되는 경우입니다), 디렉터리 수준의 MFA는 각 서비스마다 별도의 MFA 제품을 추가하는 대신 단일 통합 지점에서 모든 취약점을 차단합니다.

어느 쪽이든, FBI의 BEC(비즈니스 이메일 사기) 피해 통계는 동일한 근본적인 사실을 가리킵니다. 즉, 개방된 인터넷에 노출된 기업 메일함에서 비밀번호만으로 로그인하는 방식은 온프레미스, 하이브리드 또는 그 밖의 어떤 형태로 운영되든 Exchange를 사용하는 어떤 조직에게도 더 이상 방어 가능한 입장이 아닙니다.