인터넷에서 받은 파일이 차단되는 이유와 Mark of the Web 해제 방법

ELIYAHUB 2026년 8월 17일 최종 수정 8월 27일 읽는 시간 약 11분

인터넷에서 프로그램이나 문서를 내려받은 뒤 실행하려고 하면 “Windows에서 PC를 보호했습니다”, “이 파일은 다른 컴퓨터에서 가져왔으며 차단될 수 있습니다” 같은 경고가 나타날 수 있다. 이는 파일이 반드시 악성이라는 뜻이 아니라, Windows가 출처를 확인할 수 없는 파일에 추가 검사를 적용하는 보안 절차다.

이때 중요한 역할을 하는 정보가 Mark of the Web(MotW)이다. 차단을 무조건 해제하기보다 파일 출처와 디지털 서명, 검사 결과를 먼저 확인해야 안전하다.

1. Mark of the Web이란 무엇인가

Mark of the Web은 인터넷이나 이메일 등 외부 경로에서 저장된 파일이라는 사실을 Windows에 알려 주는 출처 표시다. 일반 파일 내용에 문구를 삽입하는 방식이 아니라, NTFS 파일 시스템의 대체 데이터 스트림(ADS)에 Zone.Identifier라는 정보를 기록한다.

인터넷에서 받은 파일에는 일반적으로 다음과 비슷한 정보가 붙는다.

[ZoneTransfer]ZoneId=3

ZoneId=3은 해당 파일이 인터넷 영역에서 왔다는 의미다. Windows는 이 정보를 참고해 실행 파일과 스크립트, Office 매크로 등이 바로 작동하지 않도록 경고하거나 일부 기능을 제한한다. Microsoft 공식 설명에 따르면 PowerShell의 Unblock-File도 바로 이 Zone.Identifier 스트림을 제거하는 방식으로 작동한다. Microsoft PowerShell 공식 문서

MOTW는 바이러스를 탐지한 결과가 아니라 파일의 출처를 표시하는 정보라는 점이 핵심이다. 따라서 정상 파일에도 붙을 수 있고, 반대로 MOTW가 없는 파일이라고 해서 반드시 안전한 것도 아니다.

2. 파일이 차단되는 대표적인 상황

크롬이나 엣지에서 내려받은 EXE·MSI·ZIP·PowerShell 스크립트뿐 아니라 이메일 첨부파일과 메신저로 전달된 문서에도 출처 정보가 남을 수 있다. 특히 매크로가 포함된 Office 문서, 설치 파일, 배치 파일처럼 시스템에 영향을 줄 수 있는 형식은 더 엄격하게 처리된다.

파일 차단에는 여러 보안 기능이 함께 관여한다. Attachment Manager는 파일 형식과 출처 영역을 이용해 위험도를 판단하고, Microsoft Defender는 악성코드 패턴을 검사한다. SmartScreen은 웹사이트나 다운로드 파일의 평판을 확인해 잘 알려지지 않았거나 위험한 파일에 경고를 표시한다. SmartScreen은 피싱 사이트와 악성 파일로부터 사용자를 보호하는 평판 기반 기능이다. Microsoft SmartScreen 공식 설명

따라서 파일 속성에서 차단을 해제했는데도 SmartScreen 경고가 나타날 수 있다. MOTW 제거와 바이러스 검사 통과, SmartScreen 평판 확인은 서로 다른 절차이기 때문이다.

3. 파일 속성에서 차단을 해제하는 방법

파일 출처가 분명하고 안전성을 확인했다면 다음 순서로 개별 파일의 차단을 해제할 수 있다.

파일을 실행하지 말고 마우스 오른쪽 버튼으로 클릭한다.
메뉴에서 속성을 선택한다.
일반 탭 아래쪽의 ‘보안’ 항목을 찾는다.
“이 파일은 다른 컴퓨터에서 가져왔으며 차단될 수 있습니다”라는 안내 옆의 차단 해제를 선택한다.
적용 → 확인을 누른다.

‘차단 해제’ 항목이 보이지 않는다면 이미 출처 정보가 제거됐거나, 해당 파일에 MOTW가 기록되지 않았을 가능성이 있다. USB 메모리처럼 FAT32 또는 exFAT로 포맷된 저장장치에서는 NTFS의 대체 데이터 스트림이 유지되지 않을 수도 있다. 회사나 기관 PC에서는 관리 정책에 의해 사용자가 직접 해제하지 못하도록 제한될 수 있다.

ZIP 파일에 차단 표시가 붙어 있다면 압축을 풀기 전에 ZIP 파일 자체를 먼저 검사하고 해제하는 편이 효율적이다. 단, 압축파일의 출처를 확인하지 않은 상태에서 여러 내부 파일을 한꺼번에 해제해서는 안 된다.

4. Zone.Identifier 확인과 PowerShell 해제 방법

조금 더 정확하게 확인하려면 PowerShell을 이용할 수 있다. 먼저 시작 버튼을 마우스 오른쪽 버튼으로 누르고 터미널 또는 PowerShell을 실행한다.

다음 명령은 파일에 등록된 데이터 스트림을 보여 준다.

Get-Item-Path"C:\Users\사용자명\Downloads\파일명.exe"-Stream*

Zone.Identifier가 표시된다면 다음 명령으로 내용을 확인할 수 있다.

Get-Content-Path"C:\Users\사용자명\Downloads\파일명.exe" `-StreamZone.Identifier

파일의 출처와 안전성을 확인한 후에는 다음 명령으로 MOTW를 제거할 수 있다.

Unblock-File-Path"C:\Users\사용자명\Downloads\파일명.exe"

경로에 공백이 포함되어 있다면 반드시 큰따옴표로 감싸야 한다. 여러 파일을 한꺼번에 해제하는 명령도 가능하지만, 다운로드 폴더 전체에 무분별하게 적용하면 위험한 파일의 보호 표시까지 사라진다. 초보자는 필요한 파일 하나씩 해제하는 것이 안전하다.

또한 MOTW를 제거했다고 파일 내부의 악성코드가 삭제되는 것은 아니다. 단지 Windows가 참고하던 출처 표시를 지우는 작업일 뿐이다.

5. 차단 해제 전에 확인해야 할 안전 기준

차단 해제는 다음 조건을 대부분 충족할 때만 고려하는 것이 좋다.

개발사나 기관의 공식 웹사이트에서 직접 받은 파일인가?
주소창의 도메인 철자와 HTTPS 연결이 정상인가?
예상했던 파일 이름과 확장자가 맞는가?
파일 속성의 디지털 서명에 정상적인 게시자가 표시되는가?
Microsoft Defender 검사에서 위협이 발견되지 않았는가?
다운로드 페이지에서 제공하는 SHA-256 값과 비교할 수 있는가?
이메일이나 메신저로 갑자기 전달된 실행 파일은 아닌가?

파일을 마우스 오른쪽 버튼으로 클릭한 뒤 Microsoft Defender로 검사를 실행하고, 설치 파일이라면 속성 → 디지털 서명에서 게시자와 인증서 상태를 확인한다. 공식 사이트처럼 보이는 광고성 다운로드 페이지, 단축 URL, 불법 복제 프로그램, 비밀번호가 걸린 출처 불명 압축파일은 해제하지 않는 것이 바람직하다.

특히 송장·택배·과태료·이력서 등으로 위장한 문서와 exe, scr, js, vbs, bat, ps1, 매크로 포함 Office 파일은 더욱 신중하게 다뤄야 한다.

6. 차단 기능을 전체적으로 끄면 안 되는 이유

파일마다 차단을 해제하는 과정이 번거롭다고 해서 Attachment Manager나 SmartScreen을 완전히 끄는 것은 권장하지 않는다. Windows가 출처 정보를 저장하지 못하면 파일을 로컬 문서와 인터넷 다운로드 파일로 구분해 위험도를 평가하기 어려워진다. Microsoft도 출처 영역 정보가 보존되지 않으면 Windows가 적절한 위험 평가를 수행할 수 없다고 설명한다. Windows Attachment Manager 정책 문서

보안 기능 전체를 해제하는 대신 신뢰할 수 있는 파일 하나만 검증한 후 개별적으로 해제하는 것이 안전하다. 조직에서 사용하는 PC라면 그룹 정책을 임의로 변경하지 말고 관리자에게 파일 검증과 예외 처리를 요청해야 한다.

장단점 분석

구분	내용
장점	외부에서 받은 파일을 구분해 실행 전 한 번 더 확인하게 한다.
장점	실행 파일·스크립트·Office 매크로를 이용한 공격을 줄이는 데 도움이 된다.
장점	파일별로 선택적인 차단 해제가 가능하다.
단점	정상적인 파일에도 경고가 표시될 수 있다.
단점	MOTW·Defender·SmartScreen의 차이를 모르면 같은 오류로 오해하기 쉽다.
단점	다수의 정상 파일을 사용하는 업무 환경에서는 개별 해제가 번거로울 수 있다.

사용자 평가 및 후기

일반 사용자에게 가장 유용한 방법은 파일 속성의 ‘차단 해제’를 이용하는 것이다. 별도 프로그램이 필요 없고 특정 파일만 처리할 수 있어 실수할 가능성이 비교적 낮다. 반면 여러 스크립트나 업무 자료를 관리하는 사용자는 PowerShell 방식이 편리하지만, 폴더 전체를 대상으로 명령을 실행하면 검증되지 않은 파일까지 해제될 수 있다는 점을 주의해야 한다.

경고가 나타난다는 이유만으로 파일을 삭제할 필요는 없지만, 정상적으로 열렸다는 사실만으로 안전하다고 판단해서도 안 된다. 출처 확인과 보안 검사를 함께 수행해야 차단 해제 기능을 올바르게 활용할 수 있다.

나의 비평

직접 확인해 보니 가장 혼동하기 쉬운 부분은 ‘차단됨’을 곧바로 바이러스 탐지로 받아들이는 것이었다. 파일 속성에서 해제 표시를 없애도 SmartScreen 경고가 별도로 나타날 수 있으므로, 같은 보안 기능이 반복 작동한다고 오해하지 않는 것이 중요했다. 나는 다운로드 폴더 전체를 한꺼번에 해제하기보다 공식 배포처와 디지털 서명을 확인한 파일만 개별적으로 처리하는 방법이 조금 번거롭더라도 가장 안전하다고 본다.

추가 팁👇

PowerShell로 다운로드 파일 직접 확인하기

위 명령어의 복사 버튼을 이용하면 긴 명령어를 직접 입력하지 않아도 된다. 실제 다운로드 파일을 이용해 확인하려면 다음 순서대로 진행한다. 1. PowerShell 실행하기 Windows 시작 버튼을 누르고 “PowerShell”을 검색한 뒤 Windows PowerShell을 실행한다. 2. 확인할 파일의 경로 복사하기 “Windows 키 + E” → 다운로드 폴더 → 확인할 파일을 마우스 오른쪽 버튼으로 클릭 → 경로로 복사를 선택한다. 예: “C:\Users\사용자명\Downloads\presslearn-theme (6).zip” 3. PowerShell에서 파일 열어보기 PowerShell에 아래와 같이 입력하고 Enter를 누른다. “Invoke-Item “C:\Users\사용자명\Downloads\presslearn-theme (6).zip”” 정상적으로 실행되면 해당 ZIP 파일이 파일 탐색기에서 열린다. 압축파일이라면 내부의 폴더와 파일도 직접 확인할 수 있다. 4. Zone.Identifier 확인하기 인터넷에서 받은 파일에 Mark of the Web 정보가 붙어 있는지 확인하려면 다음 명령어를 사용한다. “Get-Item -Path “C:\Users\사용자명\Downloads\파일명.zip” -Stream *” 결과에 Zone.Identifier가 나타난다면 Windows가 해당 파일을 인터넷에서 내려받은 파일로 인식하고 있다는 뜻이다. «참고: “Invoke-Item”은 파일을 열어보는 명령이고, “Get-Item -Stream *”은 Zone.Identifier 등의 스트림 정보를 확인하는 명령이다. 두 기능은 서로 다르므로 구분해서 사용하는 것이 좋다.»

ELIYAHUB