Microsoft는 Defender for Office 365가 일부 정상적인 Google 검색 링크를 유해한 것으로 분류해 사용자가 해당 링크를 열지 못하게 하고, 웹사이트를 여는 것이 안전하지 않을 수 있다는 경고 메시지를 표시하는 운영상 보안 결함에 대한 조사를 시작했습니다.
회사는 이 사고를 MO1465962라는 식별자로 등록했으며, 2026년 9월 2일 오전 10시 30분(협정 세계시)에 이를 인정했습니다. BleepingComputer가 확인한 서비스 알림에 따르면, 원인은 영향을 받은 검색 링크에서 실제 위협이 발견된 것이 아니라 부정확한 보안 분류입니다.
결함은 어떻게 나타나는가?
차단된 링크를 열려고 하면 사용자에게 “Opening this website might not be safe”라는 메시지가 표시됩니다. Microsoft는 링크를 복사해 브라우저에 직접 붙여넣어도 경고를 우회할 수 없다고 설명했습니다. 이는 차단이 메시지 안의 클릭 가능한 링크에만 적용되는 것이 아니라 보호 메커니즘 자체에서 발생한다는 의미입니다.
또한 회사는 IT 관리자에게 이러한 탐지와 관련된 알림 및 인시던트가 Microsoft Defender 포털과 보안 정보 및 이벤트 관리 솔루션인 Microsoft Sentinel에 나타날 가능성이 있다고 경고했습니다.
조직에 실질적으로 어떤 변화가 발생하는가?
Defender for Office 365의 Safe Links는 메일 흐름 중 수신 링크를 다시 작성한 뒤, Defender for Office 365 라이선스를 보유한 조직에서 이메일, Microsoft Teams 및 Office 365 애플리케이션의 메시지 안에서 링크를 클릭할 때 이를 확인하는 데 사용됩니다. 따라서 잘못된 분류로 인해 사용자가 정상적인 검색 결과에 접근하지 못하고, IT 팀이 분류해야 하는 가짜 보안 알림이 생성될 수 있습니다.
Microsoft는 영향을 받은 지역이나 문제를 겪은 고객 수를 밝히지 않았습니다. 또한 이 사고를 advisory로 분류했는데, 이는 일반적으로 범위나 영향이 제한적인 서비스 문제를 설명할 때 사용하는 분류입니다. 회사는 잘못된 분류를 수정하기 위해 작업 중이라고 밝혔지만, 추출된 자료에서는 처리가 완료되는 구체적인 시점을 언급하지 않았습니다.
certi.news의 분석
이 사고의 중요성은 새로운 위협이 존재한다는 데 있지 않고, 조직이 링크에 대해 신속한 결정을 내리는 데 도움을 주어야 하는 도구에서 발생한 오탐의 영향에 있습니다. 보호 계층이 정상적인 링크를 차단하면 업무 흐름이 중단될 수 있으며, 보안 팀은 실제 위험을 반영하지 않는 알림을 확인해야 합니다. 반면, 해당 결함으로 인해 보호 기능이 우회되었거나 고객이 공격을 받았다는 사실은 출처에서 확인되지 않았습니다.
이 사건은 자동 분류 시스템의 알려진 한계를 보여줍니다. 보안 결정의 정확성은 악성 링크를 차단하는 능력뿐 아니라 정상적인 콘텐츠의 작동을 방해하지 않는 능력으로도 측정됩니다. Microsoft는 과거에도 정상적인 메시지가 스팸이나 피싱으로 분류되어 격리될 가능성이 발생한 유사한 문제를 겪었지만, 출처는 이러한 사건들을 하나의 기술적 원인과 연결하지 않았습니다.
조사가 계속되는 가운데, 영향 규모와 피해 지역, 그리고 분류가 평소의 정확성을 회복하는 시점은 여전히 확인되지 않은 질문으로 남아 있습니다.