Excel 파일 보안 설명: XLSX, XLSM 및 매크로 위험

수십 년 동안 Microsoft Excel은 비즈니스 운영의 보편적인 엔진으로 자리 잡아 왔습니다. 기업 예산을 조정하고, 복잡한 데이터 세트를 시각화하며, 재고를 추적하고, 거의 모든 산업 분야에서 분석 파이프라인을 구동합니다.

하지만 동일한 계산 유연성 때문에 스프레드시트는 사이버 공격자들 사이에서 지속적인 표적이 됩니다. 공격자들은 1990년대 후반 매크로 바이러스 초창기부터 스프레드시트를 무기로 사용해 왔습니다. Microsoft와 시스템 관리자는 파일 형식 분리 및 기본 매크로 차단과 같은 여러 방어 계층을 도입했지만, 사회공학 및 미묘한 구조적 위험이 여전히 Excel 중심 공격을 지속적으로 위협하고 있습니다.

탄탄한 보안 태세를 구축하려면 개발자, 관리자, 그리고 고급 사용자가 워크북 인터페이스 아래를 살펴봐야 합니다. 기본 OpenXML 형식이 어떻게 작동하는지, .xlsx와 .xlsm이 아키텍처 수준에서 어떻게 다른지, 그리고 매크로 실행 메커니즘이 어떻게 작동하는지를 이해하는 것이 현대 엔드포인트를 방어하는 데 필수적입니다.

1. 현대 Excel 파일의 구조: OpenXML 해부

Microsoft Office 2007이 출시되기 전, Excel은 주로 독점 바이너리 형식, 특히 .xls 형식(바이너리 교환 파일 형식, 즉 BIFF8에 의해 관리)을 사용하여 파일을 저장했습니다. .xls 파일에서는 데이터 레코드, 서식 정의, 수식, 그리고 Visual Basic for Applications (VBA) 매크로 스트림이 하나의 구조화된 저장 컨테이너에 패키징되었습니다. 이는 프로그래밍 방식의 검사를 어렵게 만들었으며, 공격자들이 불투명한 바이너리 섹터 안에 악성 페이로드 스크립트를 숨길 수 있게 했습니다.

Excel 2007부터 Microsoft는 Office Open XML (OOXML) 표준(ECMA-376 및 ISO/IEC 29500으로 표준화)을 도입했습니다. OOXML 하에서는 Excel 워크북이 더 이상 단일 바이너리 블롭이 아닙니다. 대신 XML 문서, 관계 테이블, 그리고 임베드된 미디어 자산의 계층 구조를 포함하는 zip 압축 파일 형태로 제공됩니다.

ZIP 컨테이너 내부

표준적인 최신 Excel 통합 문서를 선택하고 확장자를 .zip으로 바꾸면, 일반적인 압축 해제 유틸리티로 내용을 추출할 수 있습니다:

my_workbook.xlsx (extracted)
│
├── [Content_Types].xml        <-- Registry of MIME types and structural parts
├── _rels/                     <-- Package-level relationship mappings
│   └── .rels
├── docProps/                  <-- Metadata (author, creation date, revision)
│   ├── app.xml
│   └── core.xml
└── xl/                        <-- Core spreadsheet contents
    ├── workbook.xml           <-- Workbook-level parameters and sheet list
    ├── styles.xml             <-- Cell styles, fonts, and borders
    ├── sharedStrings.xml      <-- Unique string index for performance optimization
    ├── _rels/
    │   └── workbook.xml.rels  <-- Sheet and component dependencies
    └── worksheets/
        ├── sheet1.xml         <-- Raw cell values, formulas, and grid geometry
        └── sheet2.xml

이 구조적 변화는 즉각적인 보안 이점을 제공했습니다:

1. DPI(Deep Packet Inspection) 및 게이트웨이 가시성: 보안 장비, 프록시 및 엔드포인트 에이전트는 아카이브를 실시간으로 풀어내고 일반 텍스트 XML 트리를 파싱하여 의심스러운 문자열, 외부 URL 또는 포함된 객체를 식별할 수 있습니다.
2. 결정적 파일 검증: 파일이 OpenXML 문서라고 주장하지만 스키마 제약을 위반하면, Excel은 파일을 열지 않거나 샌드박스 복구 모드에서 실행합니다.
3. 형식 분리: Microsoft는 일반 계산 스프레드시트와 임베디드 절차 스크립트를 실행할 수 있는 파일을 분리했습니다.

2. XLSX vs. XLSM: 아키텍처 경계

.xlsx와 .xlsm 사이의 주요 차이점은 파일 구조가 실행 가능한 매크로 프로젝트의 포함을 허용하는지 여부에 있습니다.

강제 메커니즘: XLSX가 매크로를 실행할 수 없는 이유

주니어 관리자와 개발자들 사이에서 흔히 묻는 질문은: 공격자가 악성 .xlsm 파일을 가져와 실행 코드를 주입하고 파일 확장자를 .xlsx 로 바꾸면 어떻게 될까요?

간단히 답하면: 파일이 매크로를 실행하지 않습니다.

Excel은 실행 규칙을 결정할 때 파일 확장자에만 의존하지 않습니다. .xlsx 파일을 열 때:

1. Excel은 zip 페이로드를 검사하고 [Content_Types].xml을 참조합니다.
2. 진짜 .xlsx 파일에서는 정의된 모든 콘텐츠 유형이 표준 데이터 요소(예: worksheet, sharedStrings, styles)를 나타냅니다.
3. 공격자가 컴파일된 VBA 스트림(xl/vbaProject.bin)을 .xlsx 패키지에 수동으로 주입하고 관계를 업데이트하면, Excel은 명시적인 스키마 모순을 만나게 됩니다:
   • .xlsx 확장자가 매크로 기능을 나타내는 콘텐츠 유형에 연결된 것을 감지합니다.
   • Excel은 치명적인 무결성 오류를 발생시킵니다: “Excel은 파일 형식이나 파일 확장자가 유효하지 않아 ‘filename.xlsx’ 파일을 열 수 없습니다. 파일이 손상되지 않았는지 확인하십시오…”
4. 공격자가 내부 유형을 그대로 두고 바이너리를 등록하지 않으면, Excel은 vbaProject.bin을 zip 아카이브 내의 참조되지 않은 고아 첨부 파일로 간주하고 로드 사이클 중에 완전히 버립니다.

그 결과, 진정한 .xlsx 컨테이너로만 작동하는 파일은 네이티브 VBA 코드를 실행할 수 없습니다. 그러나 이것이 .xlsx 파일이 모든 공격 벡터에서 자유하다는 의미는 아니며, 이 가이드의 후반부에서 자세히 살펴봅니다.

3. 매크로 위험 및 공격 수명 주기

매크로는 Visual Basic for Applications (VBA)를 통해 반복적인 회계, 재무 모델링 및 데이터 조작 작업을 자동화하도록 설계되었습니다. VBA는 업무 자동화를 위해 만들어졌기 때문에, Component Object Model (COM), Windows Script Host (WSH) 및 직접 Win32 API 호출을 통해 기본 Windows 운영 체제에 광범위한 접근 권한을 부여받았습니다.

신뢰할 수 없는 매크로가 실행될 때, 그것은 로그인한 사용자와 정확히 동일한 권한으로 실행됩니다. 이는 가상화된 JavaScript 스타일 브라우저 샌드박스에 갇혀 있지 않습니다.

+--------------------------------------------------------------------------------+
|                             ATTACK LIFECYCLE                                   |
+--------------------------------------------------------------------------------+
                                       │
                                       ▼
  [ Delivery & Evasion ]  ──────► Spear-phishing email with .xlsm, .xlam, or .zip.
                                       │
                                       ▼
  [ Social Engineering ]  ──────► Lures victim to bypass Protected View ("Enable Content").
                                       │
                                       ▼
  [ Auto-Execution ]      ──────► Auto_Open() or Workbook_Open() triggers automatically.
                                       │
                                       ▼
  [ System Invocation ]   ──────► VBA creates COM objects (WScript.Shell, WinHttp.WinHttpRequest).
                                       │
                                       ▼
  [ Payload Retrieval ]   ──────► Spawns hidden PowerShell/cURL to fetch staging binary.
                                       │
                                       ▼
  [ Post-Exploitation ]   ──────► In-memory execution, credential theft, lateral movement.

일반적인 매크로 침입 기법

1. 자동 실행 훅: 공격자는 Sub Auto_Open() 또는 Private Sub Workbook_Open()와 같은 내재된 이벤트 핸들러에 진입점을 배치합니다. 사용자가 실행 권한을 부여하자마자, 이러한 루틴은 스프레드시트 내에서 클릭 없이도 트리거됩니다.

2. 난독화 및 스톰핑:

   • 문자열 난독화: 페이로드는 문자 배열, XOR 인코딩, Base64 디코딩 또는 환경 변수 연결(예: Chr(112) & Chr(111) & Chr(119)...)을 사용하여 URL 및 시스템 호출을 숨깁니다.
   • VBA 스톰핑: vbaProject.bin 내부에 VBA는 해석된 소스 코드와 컴파일된 p-code(특정 Office 버전에 맞춰 컴파일된 의사코드) 두 형태로 존재합니다. 공격자는 명확한 소스 코드를 완전히 삭제하고 컴파일된 p-code만 남길 수 있습니다. 많은 기본 안티바이러스 솔루션과 정적 분석기는 소스 스트림만 검사하므로, 일치하는 Office 버전에서 실행될 때까지 p-code는 탐지되지 않습니다.

3. 자체 시스템 활용 (LotL): 현대의 악성 매크로는 .exe 파일을 직접 디스크에 떨어뜨리는 경우가 거의 없으며, 이는 즉시 엔드포인트 탐지 및 대응(EDR) 에이전트를 경보하게 합니다. 대신, 내장 시스템 도구와 상호 작용합니다:

   • WScript.Shell을 인스턴스화하여 명령줄 인수를 실행합니다.
   • 실행 정책을 우회하여 PowerShell.exe를 호출합니다 (-ExecutionPolicy Bypass -WindowStyle Hidden).
   • Declare PtrSafe Function CreateProcess 또는 VirtualAlloc를 통해 네이티브 Win32 API를 호출하여 셸코드를 시스템 메모리에 직접 주입합니다.

4. 기타 스프레드시트 위협 벡터 (표준 VBA 외)

.xlsm 파일에 대한 환경을 보호하는 것은 전투의 절반에 불과합니다. 공격자는 전통적인 VBA와 독립적으로 작동하는 메커니즘도 사용합니다.

동적 데이터 교환 (DDE) 및 CSV 인젝션

Excel은 실행 중인 애플리케이션 간 데이터 공유를 허용하도록 설계된 Dynamic Data Exchange (DDE)라는 레거시 프로토콜을 제공합니다 (예: 별도 프로그램에서 실시간 주식 티커 데이터를 Excel 셀로 스트리밍하는 경우).

• 수식 주입 작동 방식: 스프레드시트 셀의 시작이 =, @, +, -와 같은 문자일 경우, Excel은 내용을 수식으로 해석합니다. 공격자가 웹 애플리케이션에서 CSV 또는 XLSX로 내보낸 스프레드시트에 입력(예: 정제되지 않은 “Comments” 필드)을 제어한다면, 다음과 같이 주입할 수 있습니다:

  =cmd|'/C powershell.exe -w hidden -enc <base64_payload>'!A0
  

• 열면 Excel이 수식을 평가하고 외부 애플리케이션 실행에 대한 프롬프트로 사용자에게 알리며, 사용자가 승인하면 시스템 셸을 실행합니다.

Excel 4.0 (XLM) 레거시 매크로

1993년에 VBA가 도입되기 전, Excel은 Excel 4.0 (XLM) 매크로라는 수식 기반 매크로 시스템을 사용했습니다. 이러한 매크로는 별도의 VBA 프로젝트가 아니라 전용 매크로 시트에 존재합니다.

XLM 매크로는 셀 수식(예: =EXEC("calc.exe"))으로 작성되기 때문에 많은 표준 VBA 정적 검사 엔진을 우회합니다. 공격자들은 2010년대 후반과 2020년대 초에 자동 탐지를 피하기 위해 XLM 매크로를 선호했으며, Microsoft가 최신 엔터프라이즈 빌드에서 기본적으로 이를 비활성화하기 전까지 사용되었습니다.

악의적인 외부 연결 및 OLE 개체

일반적인 .xlsx 워크북도 외부 리소스를 통해 위험을 초래할 수 있습니다:

• 임베디드 OLE 패키지: 공격자는 워크시트에 임베디드 PDF 아이콘으로 위장된 실행 파일을 직접 삽입할 수 있습니다.
• 외부 워크북 링크 및 웹 쿼리: XLSX 파일은 파일을 열 때 자동으로 공격자 제어의 명령·제어(C2) 서버에 HTTP GET 요청을 시작하는 외부 참조를 포함할 수 있으며, 주로 정찰이나 netNTLM 해시 수집 공격에 사용됩니다.

5. 엔터프라이즈 강화 및 방어 심화 전략

Excel 기반 위협에 대비하려면 네트워크 검사, 시스템 구성, 접근 제어 및 운영 프로세스를 포함하는 다계층 접근 방식이 필요합니다.

+─────────────────────────────────────────────────────────+
|                  ENTERPRISE DEFENSE LAYERS               |
+─────────────────────────────────────────────────────────+
|  PERIMETER: Drop inbound .xlsm, .xla, and .xltm at mail |
|  gateway unless cryptographically signed or exempted.   |
+---------------------------------------------------------+
|  IDENTITY & POLICY: Enforce ASR rules and apply         |
|  Mark of the Web (MotW) macro execution blocks.         |
+---------------------------------------------------------+
|  RUNTIME: Hook AMSI into Office to evaluate dynamic     |
|  VBA buffers directly before execution.                 |
+---------------------------------------------------------+
|  STORAGE: Restrict macro execution exclusively to       |
|  managed, centralized Trusted Locations.                |
+─────────────────────────────────────────────────────────+

1. 웹 마크(Mark of the Web, MotW) 매크로 차단 적용

2022년에 Microsoft는 Office 애플리케이션의 기본 동작을 업데이트했습니다: 인터넷에서 유래한 파일의 매크로가 기본적으로 차단됩니다.

사용자가 브라우저나 외부 클라이언트를 통해 파일을 다운로드하면, Windows는 해당 파일에 Zone.Identifier라는 대체 데이터 스트림(ADS) 태그를 붙입니다(Zone 3은 인터넷을 의미합니다). 이 표시가 있는 파일의 경우, Excel은 매크로를 완전히 비활성화하고 빨간색 보안 배너를 표시합니다: > "보안 위험: Microsoft가 이 파일의 출처가 신뢰할 수 없기 때문에 매크로 실행을 차단했습니다."

관리 작업: 이 동작이 그룹 정책을 통해 적용되고 최종 사용자가 이를 무시할 수 없도록 합니다:

• GPO 경로: User Configuration > Administrative Templates > Microsoft Excel 2016 > Excel Options > Security > Trust Center
• 설정: *"인터넷에서 온 Office 파일의 매크로 실행 차단"*을 활성화합니다.

2. 공격 표면 감소(ASR) 규칙 구성

Microsoft Defender for Endpoint를 사용하는 조직은 Office 애플리케이션 전용으로 설계된 핵심 공격 표면 감소 규칙을 활성화해야 합니다:

• Block Office applications from creating child processes (GUID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A)
  • Excel이 PowerShell, CMD 또는 스크립팅 엔진을 실행하는 것을 방지합니다.
• Office 애플리케이션이 다른 프로세스로 코드를 주입하는 것을 차단 (GUID: 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84)
• Office 매크로에서 Win32 API 호출을 차단 (GUID: 92E6390C-CF9E-43CE-BD8C-0E6F0FE66680)

3. 안티멀웨어 스캔 인터페이스(AMSI) 활용

Microsoft 365 최신 버전은 VBA 실행을 AMSI와 직접 통합합니다. 공격자가 복잡한 문자열 난독화나 VBA 스톰핑을 적용하더라도, VBA 런타임 엔진은 재구성된 암호화되지 않은 명령을 실행 직전 정확히 그 순간에 설치된 안티바이러스/EDR 엔진에 전달합니다. 엔드포인트 보호가 AMSI 런타임 이벤트를 적극적으로 모니터링하도록 설정하십시오.

4. 신뢰 위치 및 디지털 인증서로 전환

일상 업무에 자동화된 스프레드시트에 의존하는 조직을 위해:

• 사용자 다운로드 또는 데스크톱 폴더에 있는 느슨한 XLSM 파일을 제거하십시오.
• 신뢰할 수 있는 위치 사용: 매크로 실행을 IT 관리자가 관리하는 읽기 전용 네트워크 공유로만 제한하십시오.
• 코드 서명: 내부에서 개발된 모든 매크로가 기업 공개키 인프라(PKI)에서 발급한 인증서를 사용해 암호화 서명되도록 의무화하십시오. Excel을 구성하여 디지털 서명된 매크로만 실행하고 서명되지 않은 매크로는 조용히 차단하도록 설정하십시오.

6. 개발자 관점: 안전한 자동화 구축

Excel 파일을 구문 분석, 생성 또는 사용(예: pandas/openpyxl을 사용하는 Python 파이프라인, Node.js 마이크로서비스, 또는 C#/.NET 애플리케이션)하는 소프트웨어를 구축하고 있다면, 다음 개발 보호 조치를 적용하십시오:

1. 업로드 경계에서 예상치 못한 파일 형식 거부: 애플리케이션이 재무 보고서를 기대한다면, 들어오는 파일이 .xlsx 형식에 정확히 맞는지 엄격히 검증하십시오. 내부 매직 바이트(표준 zip 헤더 50 4B 03 04)를 검사하고, 클라우드 버킷이나 데이터베이스에 저장하기 전에 아카이브 인덱스에 vbaProject.bin 항목이 존재하지 않는지 확인하십시오.

2. 수식 주입에 대비해 데이터 정화: 사용자 생성 입력을 CSV 또는 XLSX 파일로 내보낼 때, 위험한 문자(=, +, -, @, \t, \r)로 시작하는 셀 앞에 작은 따옴표(') 또는 공백을 추가하십시오:

   def sanitize_for_spreadsheet(value: str) -> str:
       if value and value[0] in ('=', '+', '-', '@', '\t', '\r'):
           return f"'{value}"
       return value
   

3. VBA에서 Office Scripts 또는 웹 애드인으로 마이그레이션: 현대 기업 자동화를 위해 레거시 VBA를 완전히 단계적으로 폐지하십시오:

   • Office Scripts: TypeScript로 작성된 Office Scripts는 샌드박스된 클라우드 환경에서 실행되며, 네이티브 OS 시스템 호출을 노출하지 않고 웹 및 데스크톱 버전 모두에서 원활하게 작동합니다.
   • Office Web Add-ins: 표준 HTML, CSS 및 최신 JavaScript를 사용하여 구축되며, 웹 추가 기능은 관리되는 JavaScript API를 통해 통신하고 로컬 운영 체제와 격리됩니다.

7. 스프레드시트 보안을 위한 요약 체크리스트

• 기본값으로 .xlsx 적용: 모든 표준 사용자 워크플로가 매크로가 없는 .xlsx 형식으로 저장하도록 요구합니다.
• 인터넷 출처 매크로 차단: GPO 또는 Intune을 통해 조직 전체에 MotW 정책 적용이 배포되었는지 확인합니다.
• ASR 규칙 활성화: Office 제품이 명령 인터프리터나 하위 프로세스를 생성하는 것을 금지합니다.
• Excel 4.0 (XLM) 사용 중단: 모든 워크스테이션에서 레거시 XLM 매크로 엔진이 영구적으로 비활성화되었는지 확인합니다.
• 애플리케이션 내보내기 정화: CSV 및 Excel 생성 루틴을 CSV/수식 삽입 공격으로부터 보호합니다.
• Office Scripts로 전환: 레거시 관리 매크로를 TypeScript 기반 Office Scripts와 관리 API로 이전합니다.

스프레드시트를 단순히 문서 파일이 아니라 실행 기능을 갖춘 구조화된 소프트웨어 컨테이너로 간주함으로써, 보안 팀과 개발자는 기업 컴퓨팅에서 가장 오래된 공격 경로 중 하나를 효과적으로 무력화할 수 있습니다.

자주 묻는 질문 (FAQ)

Q1: .xlsx 파일이 악성 매크로를 실행할 수 있나요?

아니요, OpenXML 표준은 .xlsx 파일에 매크로 코드를 엄격히 금지하고 있으며, Excel은 정품 .xlsx 컨테이너에 삽입된 VBA 프로젝트를 거부하거나 제거합니다.

Q2: Excel 파일이 “편집 사용” 또는 “콘텐츠 사용"을 요청하면 어떻게 해야 하나요?

보낸 사람을 알고 파일을 기대하고 있을 때만 권한을 부여하세요; 이 프롬프트는 신뢰할 수 없는 매크로가 코드를 실행하도록 허용하는 주요 체크포인트입니다.

Q3: Microsoft Excel은 파일이 인터넷에서 왔는지 어떻게 판단하나요?

Windows는 다운로드된 파일에 숨겨진 “Mark of the Web”(Zone.Identifier) 스트림을 첨부하여 Excel이 해당 파일을 보호된 보기에서 열고 기본적으로 매크로를 차단하도록 신호를 보냅니다.

Q4: CSV 파일이 XLSX 및 XLSM 파일보다 더 안전한가요?

CSV 파일은 기본 VBA 매크로를 포함할 수 없지만, 열 때 Excel이 실행하는 악성 명령이 포함된 경우 수식 주입 공격에 취약할 수 있습니다.

Q5: 최신 Office Scripts는 기존 VBA 매크로와 어떻게 다릅니까?

Office Scripts는 샌드박스 런타임 환경 내에서 TypeScript로 실행되어 로컬 파일 시스템, 명령줄 또는 운영 체제 API에 접근하는 것을 방지합니다.

관련 항목

• 2026년 CSV vs XLSX vs ODS: 개발자를 위한 최고의 스프레드시트 형식
• XLS vs XLSX vs XLSM vs XLSB - 올바른 스프레드시트 형식 선택
• Excel이란? 알아야 할 핵심 정보
• Excel 파일 형식: XLSX, XLSM, XLS, XLTX, XLTM
• XLS와 XLSX의 차이