---
title: "스캐머들이 마이크로소프트 내부 알림 주소로 피싱 메일을 뿌리고 있다"
published: 2026-05-24T00:51:32.000Z
canonical: https://jeff.news/article/3275
---
# 스캐머들이 마이크로소프트 내부 알림 주소로 피싱 메일을 뿌리고 있다

스캐머들이 마이크로소프트의 정상 계정 알림용 이메일 주소를 악용해 스팸·피싱 링크를 보내고 있다는 보도다. 해당 주소는 2단계 인증 코드나 계정 보안 알림에 쓰이는 주소라 사용자가 진짜 메일로 착각하기 쉽고, 스팸하우스는 이 활동이 몇 달 전부터 이어졌다고 밝혔다.

- 스캐머들이 마이크로소프트의 정상 내부 알림 주소를 악용해 스팸·피싱 메일을 보내고 있음
  - 문제의 발신 주소는 `msonlineservicesteam@microsoftonline.com`
  - 이 주소는 원래 2단계 인증 코드, 계정 보안 알림 같은 중요한 마이크로소프트 온라인 계정 알림에 쓰이는 주소임
  - 그래서 받은 사람 입장에서는 “발신자가 진짜 마이크로소프트네?” 하고 방심하기 쉬움. 이게 제일 위험한 부분임

- 공격 방식의 정확한 내부 메커니즘은 아직 공개되지 않았음
  - 보도에 따르면 스캐머들은 새 마이크로소프트 계정을 고객처럼 만들고, 그 접근 권한을 이용해 메일을 보내는 식으로 보임
  - 제목은 사기 거래 경고처럼 보이거나, 특정 웹주소에 개인 메시지가 기다리고 있다는 식으로 꾸며짐
  - 본문에는 스캠 사이트 링크가 들어감

> [!WARNING]
> 발신 도메인이 진짜라고 해서 메일 내용까지 진짜라는 뜻은 아님. 정상 알림 시스템이 악용되면 SPF, DKIM 같은 인증을 통과한 피싱 메일도 충분히 나올 수 있음.

- 스팸하우스도 같은 문제를 확인했음
  - 반스팸 비영리 단체인 The Spamhaus Project는 해당 마이크로소프트 계정 알림 주소가 스팸 발송에 악용되고 있다고 밝힘
  - 활동은 “몇 달 전”부터 이어졌다고 함
  - 스팸하우스는 “자동 알림 시스템이 이 정도 수준의 커스터마이징을 허용하면 안 된다”고 지적함
  - 마이크로소프트에도 이 문제를 통보했다고 밝힘

- 마이크로소프트는 뒤늦게 조사와 차단 강화를 언급함
  - 보도 시점에는 문의를 인정했지만 즉각적인 코멘트는 없었음
  - 이후 마이크로소프트 측은 피싱 신고를 적극 조사하고 있으며, 탐지·차단 메커니즘을 강화하고 약관 위반 계정을 제거하고 있다고 밝힘
  - 다만 기사 표현상 아직 완전히 통제된 상황으로 보이진 않음

- 이건 마이크로소프트만의 특수 사례라기보다 최근 반복되는 패턴임
  - 올해 초에는 핀테크 회사 Betterment가 쓰는 플랫폼이 침해돼, 암호화폐를 보내면 3배로 돌려준다는 전형적인 사기 알림이 발송된 적이 있음
  - 2023년에는 Namecheap이 운영하는 이메일 계정 접근이 악용돼 자격 증명 탈취용 피싱 메일이 나감
  - 소셜미디어 이용자들은 다른 회사 이메일 주소도 스팸 발송에 쓰이고 있다고 말해, 문제가 특정 업체 하나에만 갇혀 있지는 않아 보임

- 서비스 운영자 입장에서 핵심은 ‘알림 메일 본문을 얼마나 자유롭게 커스터마이징하게 둘 것인가’임
  - 사용자 입력이 제목, 링크, 본문에 그대로 들어가면 정상 발신 인프라가 공격자의 피싱 발송기로 바뀔 수 있음
  - 특히 계정 보안, 결제, 인증 코드처럼 사용자가 즉시 반응하는 알림일수록 템플릿 제약과 링크 검증이 더 빡세야 함

---

## 기술 맥락

- 이 사건의 핵심은 메일 발신 인증이 뚫렸다는 얘기가 아니라, 정상 알림 시스템이 피싱 콘텐츠를 실어 나르는 통로가 됐다는 점이에요. 그래서 발신 주소가 진짜여도 본문 링크와 문맥을 따로 검증해야 해요.

- 자동 알림 시스템은 보통 사용자 이름, 조직명, 메시지 제목, 링크 같은 필드를 템플릿에 끼워 넣어요. 그런데 이 입력값을 너무 자유롭게 허용하면 공격자가 공식 메일처럼 보이는 피싱 문구를 만들 수 있거든요.

- 서비스 개발팀 입장에서는 링크 허용 목록, 제목 템플릿 제한, 위험 키워드 탐지, 계정 생성 직후 발송량 제한 같은 방어가 필요해요. 왜냐하면 이런 메일은 회사의 평판 높은 도메인과 인프라를 타고 나가서 일반 스팸보다 훨씬 잘 믿히기 때문이에요.

## 핵심 포인트

- 악용된 발신 주소는 `msonlineservicesteam@microsoftonline.com`으로, 마이크로소프트 계정 알림에 쓰이는 정상 주소
- 메일 제목은 사기 거래 경고나 개인 메시지 알림처럼 꾸며졌고 본문에는 스캠 사이트 링크가 포함됨
- 스팸하우스는 자동 알림 시스템이 이런 수준의 커스터마이징을 허용하면 안 된다고 지적
- 마이크로소프트는 피싱 신고를 조사하고 탐지·차단을 강화하며 약관 위반 계정을 제거 중이라고 밝힘
- 최근 Betterment, Namecheap 사례처럼 기업의 정상 알림 시스템이 피싱 발송 채널로 악용되는 흐름과 맞닿아 있음

## 인사이트

이건 SPF나 DKIM만 통과한다고 안전하다고 볼 수 없다는 전형적인 사례다. 진짜 회사 인프라에서 온 메일이라도, 그 인프라가 사용자 입력을 너무 자유롭게 메일 본문에 실어 보내면 피싱 인프라가 된다.