오피스 문서 보안 매크로 차단법: 직장인이 꼭 알아야 할 설정 4가지

오피스 문서 보안 매크로 차단을 제대로 설정하지 않은 상태에서 거래처로부터 받은 Excel 파일의 ‘콘텐츠 사용(Enable Content)’ 버튼을 클릭하면, 랜섬웨어가 실행되고 네트워크 공유 폴더 전체가 암호화되기까지 걸리는 시간은 수십 초에 불과하다. KISA(한국인터넷진흥원) 침해 사고 분석 보고에서 반복적으로 언급되듯, 악성 매크로는 국내 기업 보안 침해의 대표적인 진입 경로 중 하나다. 문제는 이것이 새로운 위협이 아니라, 수년째 꾸준히 쓰이는 낡지 않는 공격 방식이라는 점이다.

많은 사람이 “매크로를 막으면 업무 파일이 안 돌아간다”는 막연한 두려움 때문에 설정을 건드리지 않는다. 사실 VBA 매크로는 회계 자동화, 보고서 생성, 데이터 정제 등 합법적인 용도로도 광범위하게 쓰이기 때문에 그 양면성 자체가 공격자에게 유리한 환경을 만든다. 악의적인 코드와 업무용 코드가 외형적으로 거의 구분되지 않기 때문이다.

이 글에서는 Windows + Microsoft 365 환경 기준으로 매크로 차단 설정을 단계적으로 적용하는 방법, 그룹 정책 배포 방법, 그리고 차단 후 업무 연속성을 현실적으로 유지하는 방법까지 다룬다. 개인 사용자부터 소규모 기업 IT 담당자까지 바로 적용할 수 있는 수준으로 정리했다.

오피스 문서 매크로가 왜 여전히 주요 보안 위협인가

VBA(Visual Basic for Applications) 매크로는 1990년대부터 Office에 내장된 자동화 언어다. 파일 시스템 접근, 네트워크 연결, 외부 프로세스 실행까지 가능하기 때문에 공격자 입장에서는 거의 완성된 침투 도구에 가깝다. 문서 파일 자체가 실행 파일처럼 동작하는 셈이다.

특히 한국 기업 환경에서는 이메일, 웹하드, P2P 경로로 유통되는 문서 파일을 별다른 확인 없이 여는 습관이 위험 요인으로 자주 지목된다. 외주 거래처 견적서, 공공기관 공문 양식, 채용 이력서처럼 “당연히 열어야 하는” 문서로 위장한 경우가 많기 때문이다. 사용자가 의심 없이 매크로 활성화 버튼을 누르기 쉬운 맥락이 미리 설계되어 있다.

2022년부터 Microsoft가 인터넷 출처 파일의 VBA 매크로를 기본 차단 방향으로 정책을 전환했지만, 이 변경이 모든 Office 버전에 자동 적용되는 것은 아니다. 볼륨 라이선스 구버전인 Office 2016, 2019 LTSC 환경은 별도 그룹 정책 없이는 기존 동작을 유지한다. “업데이트를 했으니 안전하다”는 가정 자체가 위험하다는 말이다.

VBA, XLM, 원격 템플릿 — 매크로 공격의 세 가지 경로

악성 매크로 공격의 고전적인 흐름은 단순하다. 첨부 파일을 열면 “보호된 보기”가 뜨고, 사용자가 “편집 사용”을 클릭하면 다시 “콘텐츠 사용”을 요청하는 노란 경고 바가 나타난다. 이 두 번째 클릭이 실질적인 실행 허가다. 이후 PowerShell이 호출되고 외부 서버에서 2차 페이로드(랜섬웨어, RAT 등)를 내려받아 실행하는 전체 과정이 수십 초 안에 완료된다.

다만 VBA만 막는다고 끝이 아니다. Excel에는 VBA와 별개인 XLM(Excel 4.0) 매크로가 존재하는데, 이는 셀 수식 방식으로 동작하며 일부 보안 솔루션이 VBA 탐지에 집중하는 틈새를 노린다. KISA와 글로벌 보안 리서치 보고에서 이 경로가 실제 공격에 활용된 사례가 다수 기록되어 있다.

세 번째 경로는 원격 템플릿 인젝션이다. 파일 자체에는 매크로가 전혀 없지만, 열리는 순간 외부 서버에서 매크로가 담긴 템플릿을 불러오는 방식이다. 로컬 파일 스캔이나 이메일 첨부 파일 분석 단계에서 감지되지 않는 경우가 있어, 네트워크 레벨 차단과 DNS 필터링이 보조 방어선으로 필요한 이유다. 이처럼 공격 방식이 다각화되어 있으므로 단일 설정으로 완전한 차단을 기대하는 것은 비현실적이다.

오피스 문서 보안 매크로 차단 — 트러스트 센터 4단계 설정

Microsoft 365 또는 Office 2019/2021 환경에서 트러스트 센터(Trust Center)를 통해 매크로 설정을 확인하고 조정할 수 있다. 경로는 Word·Excel·PowerPoint 공통으로 파일 → 옵션 → 보안 센터 → 보안 센터 설정 → 매크로 설정이다. 각 Office 애플리케이션마다 개별 적용해야 하며, Word에서 바꿨다고 Excel에 자동 반영되지 않는다.

1. 알림 없이 VBA 매크로 사용 안 함 선택 — “알림 포함 허용(기본값)” 옵션은 사용자가 클릭 한 번으로 실행을 허가할 수 있어 사회공학 공격에 취약하다. 고위험 환경에서는 알림 없이 전면 차단이 적합하다. 사용자가 설정을 바꿀 수 있는 환경이라면 그룹 정책 잠금을 별도로 적용해야 한다.
2. Excel 전용: XLM 매크로 별도 차단 — 트러스트 센터 → 매크로 설정 하단에 “Excel 4.0 매크로가 활성화된 경우 런타임 스캔” 옵션이 있다. 이 항목을 반드시 체크한다. VBA 차단 설정과 별개로 동작하므로 놓치기 쉽다.
3. 신뢰할 수 있는 위치 범위 축소 — 트러스트 센터 → 신뢰할 수 있는 위치에서 불필요하게 넓은 경로(예: C:\Users\Public, 네트워크 공유 전체)를 제거한다. 실제로 쓰는 업무 폴더 2~3개만 남기는 것이 안전하다.
4. 신뢰할 수 있는 문서 목록 초기화 — 트러스트 센터 → 신뢰할 수 있는 문서 → “신뢰할 수 있는 문서 지우기”를 실행해 과거에 허용된 파일 기록을 정리한다. 오래된 허용 목록이 우회 경로가 될 수 있다.

Mark of the Web(MOTW)과 보호된 보기의 실제 한계

Windows는 인터넷에서 내려받은 파일에 Zone.Identifier라는 숨겨진 데이터 스트림(ADS)을 붙인다. 이것이 Mark of the Web(MOTW)이다. Office는 이 표식이 있는 파일을 열 때 자동으로 “보호된 보기(Protected View)”로 실행하고 매크로를 포함한 액티브 콘텐츠를 차단한다. 이 흐름이 정상 동작할 때는 상당히 효과적인 방어선이 된다.

반대로 MOTW가 제대로 붙지 않는 경우가 있다. ZIP 또는 ISO 파일 안에 담겨 배포되다가 추출될 때, 일부 서드파티 압축 프로그램(오래된 버전의 알집, 일부 버전의 반디집 등)이 ADS를 전파하지 않아 MOTW 없이 파일이 나오는 사례가 보고된다. 구형 브라우저 다운로더나 특정 파일 전송 도구에서도 유사한 동작이 간헐적으로 나타난다. 그러니까 “보호된 보기가 뜨지 않았으니 안전한 파일”이라는 판단은 위험하다. 보호된 보기의 부재가 안전의 증거가 아니라 MOTW 우회의 증거일 수 있기 때문이다.

이 약점을 인지한 Microsoft는 2022년 이후 MOTW 유무와 관계없이 인터넷 출처 매크로를 더 강하게 차단하는 정책을 순차 적용했다. 그러나 앞서 언급한 구버전 LTSC 환경은 이 혜택을 자동으로 받지 못하므로, 조직 내 Office 버전 현황을 파악하는 것이 실제 보안 수준을 아는 첫걸음이다.

그룹 정책·레지스트리로 오피스 매크로 차단 강제 적용하기

개인 설정은 사용자가 언제든 바꿀 수 있다. 조직 환경에서 보안 설정을 강제로 유지하려면 그룹 정책(GPO) 또는 레지스트리 배포가 필요하다. Microsoft는 Office ADMX 템플릿을 공식 배포하며, 이를 그룹 정책 편집기에 불러오면 매크로 관련 수십 가지 설정을 중앙에서 관리할 수 있다(ADMX 파일은 Microsoft 공식 다운로드 센터에서 버전별로 제공한다).

핵심 정책 위치는 다음과 같다(2026년 5월 기준, Office 365/2021 기준이며 버전에 따라 경로가 다를 수 있으므로 ADMX 문서 대조 권장).

• 사용자 구성 → 관리 템플릿 → Microsoft Excel → Excel 옵션 → 보안 → 보안 센터 → “VBA 매크로 알림 설정”: “알림 없이 사용 안 함” 강제
• 동일 경로 → “인터넷에서 가져온 Office 파일의 매크로 차단”: 사용
• 신뢰할 수 있는 위치 제한: “신뢰할 수 있는 네트워크 위치 허용 안 함” 정책 활성화 후 필요한 로컬 경로만 GPO로 명시
• Excel 4.0 매크로 차단: “Excel 4.0 XLM 매크로 사용 안 함” 정책 활성화

매크로 차단 GPO는 반드시 “사용자 구성”에 적용해야 한다. “컴퓨터 구성”에는 일부 Office 정책이 없거나 동작이 달라, 적용 범위를 혼동하면 설정이 무시되는 경우가 생긴다.

레지스트리 방식은 도메인이 없는 소규모 환경에서도 스크립트로 일괄 배포할 수 있다. Excel 기준으로 HKCU\Software\Policies\Microsoft\Office\16.0\excel\security 경로에 VBAWarnings 값을 4(알림 없이 차단)로 설정하는 방식이 대표적이다. 다만 레지스트리 직접 수정은 잘못 적용 시 Office 기능 장애를 일으킬 수 있으므로, 반드시 테스트 환경에서 먼저 검증한 뒤 배포해야 한다.

오피스 문서 보안 매크로 차단 수준별 비교

아래 표는 설정 방법별 보호 수준, 업무 영향, 관리 난이도를 정리한 것이다(2026년 5월 기준, Microsoft 365 및 Office 2021 환경 기준).

설정 방식	보호 수준	업무 영향	관리 난이도	적합 환경
기본값 유지(알림 포함 허용)	낮음	없음	없음	권장 안 함
트러스트 센터 수동 4단계	중간	외부 파일 매크로 비활성	낮음	개인 사용자
신뢰 위치 지정 + 차단 병행	중상	지정 폴더 외 전면 차단	중간	소규모 팀·프리랜서
그룹 정책(GPO) 강제 배포	높음	정책 외 매크로 전면 차단	높음	도메인 조직
GPO + 이메일 필터링 + EDR 병행	매우 높음	화이트리스트로 거의 없음	매우 높음	보안 민감 기업

표에서 드러나듯, 단일 설정 하나로 충분한 보호 수준은 사실상 없다. “신뢰 위치 + 차단 병행”은 개인·소규모 환경에서 현실적인 균형점이고, 조직 규모가 커질수록 GPO와 이메일 보안을 함께 운용해야 실질적인 방어가 된다. 반면 GPO만 적용하고 이메일 필터링이 없으면, 원격 템플릿 인젝션처럼 파일 자체에 매크로가 없는 공격은 여전히 통과할 수 있다는 약점이 남는다. 이 한계를 솔직하게 인식하고 층위별 방어를 설계하는 것이 현실적인 접근이다.

매크로 차단 후 업무 연속성 유지 — 현실적인 방법 세 가지

매크로 차단이 두려운 가장 큰 이유는 기존 자동화 파일이 멈추는 것이다. 신뢰 위치(Trusted Location)를 활용하면 이 문제를 상당 부분 해결할 수 있다. 검증된 업무용 파일이 저장되는 폴더를 신뢰 위치로 등록하면, 해당 폴더 안의 파일에 한해 매크로가 정상 실행된다. 외부에서 받은 파일은 여전히 차단된 채로 유지되므로 보안과 편의 사이에서 균형을 잡을 수 있다.

다만 네트워크 공유 폴더 전체를 신뢰 위치로 등록하는 것은 피해야 한다. 공유 폴더는 다수가 접근하므로 오염된 파일이 들어올 가능성이 있고, 한 파일이 신뢰 위치 안에 있으면 매크로가 바로 실행된다는 위험이 있다. 로컬 특정 폴더 1~2개로 범위를 제한하고, 외부에서 받은 파일은 검토 후 이동하는 절차를 만드는 것이 좋다.

두 번째 방법은 디지털 서명(코드 서명 인증서) 활용이다. 내부에서 개발한 매크로에 조직 인증서로 서명하고, “서명된 매크로만 허용” 정책을 적용하면 미서명 외부 매크로는 차단하면서 내부 업무용 매크로는 그대로 동작하는 환경을 구성할 수 있다. 인증서 발급·관리 비용이 발생하지만, 보안과 편의를 함께 유지할 수 있는 검증된 구성이다.

장기적으로는 매크로 의존도 자체를 낮추는 방향도 고려할 만하다. Microsoft Power Automate, Python 기반 자동화, 또는 클라우드 연동 업무 도구로 일부 매크로 기능을 대체하면 Office 보안 설정을 더 강하게 유지하면서도 생산성을 지킬 수 있다. 기존 매크로 자산이 많다면 이 전환 자체가 큰 프로젝트가 되므로, 차단 정책을 먼저 적용하고 마이그레이션을 단계적으로 진행하는 것이 현실적이다.

자주 묻는 질문

매크로를 완전히 차단하면 기존 업무 파일이 모두 안 열리는 건가요?

파일 열기 자체는 영향을 받지 않는다. 매크로 차단은 파일 접근 금지가 아니라 파일 안의 코드 실행을 막는 것이다. 매크로가 없는 일반 .xlsx, .docx 파일은 설정과 무관하게 정상 동작한다. 매크로가 포함된 파일도 열 수는 있으나 매크로 실행만 차단된다. 신뢰 위치나 디지털 서명을 통해 검증된 파일의 매크로는 예외 처리가 가능하므로, 업무 파일을 전혀 못 쓰게 되는 상황은 설계에 따라 충분히 피할 수 있다.

이메일로 받은 Office 파일은 어떻게 안전하게 열 수 있나요?

이메일 첨부 파일은 기본적으로 MOTW 표식이 붙어 보호된 보기로 열린다. 이 상태에서 “편집 사용”과 “콘텐츠 사용”을 동시에 요청하는 메시지가 뜬다면, 발신자에게 파일 목적을 재확인하거나 VirusTotal 같은 온라인 분석 도구에 올려보는 것이 기본적인 확인 방법이다. 다만 민감한 업무 문서를 외부 서비스에 업로드하면 정보 유출 위험이 있으므로, 기업 환경에서는 내부 샌드박스 또는 이메일 보안 게이트웨이를 통한 사전 분석이 더 적합하다.

구버전 Office(2016, 2019 LTSC)도 동일한 방법으로 차단할 수 있나요?

트러스트 센터 경로는 Office 2016/2019에서도 동일하게 존재한다. 다만 2022년 이후 Microsoft 365에 적용된 “인터넷 출처 매크로 기본 차단” 정책은 LTSC 제품에 자동 적용되지 않았다. 그룹 정책(버전에 맞는 ADMX 템플릿 필요)을 통해 수동으로 동등한 수준의 설정을 배포할 수 있으며, 버전별 ADMX 파일은 Microsoft 공식 다운로드 센터에서 제공된다. 조직 내 구버전 Office 잔존 여부를 먼저 파악하는 것이 우선이다.

한글(HWP) 문서의 매크로도 같은 위협이 있나요?

한글 문서(HWP/HWPX)도 매크로 기능을 지원하며, 국내 공공기관·기업을 겨냥한 APT 공격에서 악성 HWP 매크로가 활용된 사례가 KISA 및 국내외 보안 업체 분석 보고서에서 반복적으로 언급된다. 한컴오피스 역시 보안 설정 메뉴를 제공하므로, 동일한 원칙으로 외부 출처 파일의 매크로를 기본 차단 상태로 유지하는 것이 권장된다. 공공기관 발신처럼 보이는 HWP 문서가 특히 높은 위험군에 속한다.

매크로 없이도 랜섬웨어에 감염될 수 있나요?

있다. 매크로 차단이 강화되면서 공격자들은 LNK(바로가기) 파일, OneNote 임베디드 실행 파일, OLE 패키저 개체 등 매크로를 우회하는 대안 경로로 이동하는 추세가 보안 업계에서 관찰된다. 매크로 차단 설정은 중요한 방어층이지만 그 자체로 완전한 방어가 아니라는 점을 전제로, 이메일 필터링, 운영체제·소프트웨어 최신 패치, EDR 솔루션 병행을 함께 고려해야 한다.

지금 사용하는 Excel을 열고 파일 → 옵션 → 보안 센터 → 보안 센터 설정 → 매크로 설정을 확인해보자. 아직도 “알림 포함 모든 매크로 허용”으로 남아 있다면, 그 화면에서 바로 바꾸는 데 3분이면 충분하다. 파일공유 보안 카테고리에서 이메일·웹하드 파일 취급 전반에 걸친 보안 가이드를 확인할 수 있고, 외부 파일을 클라우드로 받을 때의 설정이 궁금하다면 클라우드 비교 가이드가 도움이 된다. 웹하드와 P2P에서 받은 파일의 위험성 사례는 웹하드 가이드에 정리되어 있다.