WordPress 공식 디렉터리에는 현재 56,000개가 넘는 플러그인이 등록되어 있습니다. 그렇다면 모든 플러그인이 웹사이트에 잠재적인 보안 위협이 된다는 뜻일까요? 시작부터 겁을 주고 싶지는 않지만, WordPress는 해킹 피해가 가장 많은 CMS(콘텐츠 관리 시스템)이며, 그 취약점의 상당 부분은 플러그인에서 비롯됩니다. 실제로 WPScan 취약점 데이터베이스에 따르면 전체 WordPress 취약점 중 플러그인으로 인한 것은 23%에 달하며(테마는 3%에 불과), 보안은 웹사이트를 구축하는 순간부터 가장 중요하게 신경 써야 할 요소입니다.
플러그인이 정말 사이트를 취약하게 만들 수 있는지 지금부터 자세히 살펴보겠습니다.
사이트가 취약해지는 원인은 무엇일까?
WordPress 사이트를 안전하게 만드는 첫걸음은 어떤 요소가 취약점을 유발하는지 파악하는 것입니다. 대표적인 위험 요소를 확인해 보세요.
- 약한 비밀번호 – 2017년 가장 많이 쓰인 비밀번호는 '123456'과 'password'였습니다. 최소 8자 이상, 숫자와 특수문자를 포함하고 계정마다 다르게 설정하는 강력한 비밀번호가 보안의 기본입니다.
- 허술한 코딩 – 개발자 역시 기량, 경험, 시간, 테스트 부족 등으로 실수를 하거나 기능보다 보안에 소홀할 수 있습니다.
- 업데이트 누락 – 업데이트는 보안 패치와 오류 수정을 제공합니다. 오래된 버전일수록 공격에 취약해집니다.
- 불안전한 플러그인과 테마 – 플러그인과 테마는 WordPress 취약점의 주요 원인입니다. 방치된 업데이트, 미숙한 개발, 최신 버전과의 비호환 등 다양한 방식으로 문제를 일으킵니다.
플러그인이 안전한지 확인하는 방법
플러그인이 취약점의 원인이 될 수 있으므로, 해커의 침입 통로가 되지 않는 플러그인을 고르는 것이 중요합니다. WordPress 디렉터리에는 5만 개 이상의 플러그인이 있고 웹 곳곳에 더 많은 플러그인이 배포되어 있어 선택이 쉽지 않습니다. 새 플러그인을 설치하기 전 반드시 확인해야 할 체크리스트를 준비했습니다.
신뢰할 수 있는 출처
플러그인은 반드시 신뢰할 수 있는 출처에서만 다운로드하세요. 예: WPMayor처럼 인기 있고 검증된 사이트에서 평판 좋은 플러그인을 찾아보세요.
활성 설치 수
설치 수가 많다는 것은 플러그인의 인기를 보여주는 지표이며, 다른 항목과 종합하면 전반적인 만족도를 가늠할 수 있습니다. 예: 가장 인기 있는 WordPress SEO 플러그인 Yoast SEO는 500만 건 이상의 활성 설치를 기록하고 있습니다.
평점
높은 평점은 사용자들이 실제로 만족했으며 심각한 문제가 없었다는 신호입니다. 더 확실히 하려면 리뷰나 댓글에서 사용자들이 무엇을 좋아하고 싫어하는지 직접 확인해 보세요. 예: Slider Revolution은 평균 평점 4.79를 기록한 베스트셀러 플러그인으로 훌륭한 선택입니다.
최신 업데이트
업데이트가 꾸준히 배포되는지, 최근 업데이트 이력이 있는지 항상 확인하세요. 대부분의 플러그인은 공식 페이지에서 릴리스 날짜와 변경 사항을 확인할 수 있습니다. 예: Caldera Forms는 업데이트 후 새 기능, 수정 사항, 버전 정보를 담은 글을 게시합니다.
최신 WordPress 버전과의 호환성
플러그인은 최신 WordPress 버전과 호환되어야 합니다. wordpress.org에서 플러그인을 검색하면 호환 정보를 확인할 수 있습니다. 예: WooCommerce는 WordPress 4.7 이상과 호환되며 최신 버전인 4.9.8까지 테스트를 거쳤습니다.
지원 채널
지원 채널의 존재 여부는 개발자가 사용자 의견에 관심을 갖고 도움을 줄 준비가 되어 있는지 보여주는 중요한 신호입니다. 예: BlogVault는 접근성 좋은 티켓 시스템과 방대한 문서를 제공합니다.
다른 플러그인과의 호환성
플러그인이 다른 플러그인과 충돌하지 않는지 확인하세요. 사용자 리뷰에서 불만 사항을 찾아볼 수 있고, 개발자가 호환되는 플러그인을 명시하는 경우도 많습니다. 호환성 문제는 사이트 운영의 큰 걸림돌이 됩니다. 예: WPML은 전담 호환성 팀을 운영하며 다양한 테마와 플러그인과의 완벽한 호환을 보장합니다.
문서화 수준
좋은 문서에는 기능 설명, 튜토리얼, 릴리스 노트 등 유용한 정보가 담겨 있습니다. 예: Visual Composer는 초보자와 개발자 모두에게 호평받는 문서와 동영상 튜토리얼을 정기적으로 업데이트하며 제공합니다.
보안 검사
확신이 서지 않는다면 보안 검사를 실행해 보세요. 예: MalCare는 최고의 WordPress 보안 플러그인 중 하나로, 멀웨어 탐지, 구버전 소프트웨어 확인, 블랙리스트 조회, 사이트 정리 및 보안 강화를 지원합니다.
주의해야 할 플러그인은?
체크리스트 외에도 안전하지 않다고 판명되었거나 취약점이 있는 것으로 알려진 특정 플러그인들이 있습니다. 이런 플러그인은 오래되었거나 취약점이 많은 버전일 수 있습니다. 안전하지 않은 플러그인 목록, 취약점 상세 정보와 수정 여부, 치명적인 취약점이 포함된 버전 등 최신 보안 정보를 제공하는 웹사이트를 활용해 보세요.
참고할 만한 리소스는 다음과 같습니다.
- exploit-db – "공개 익스플로잇과 해당 취약 소프트웨어의 아카이브"인 Exploit Database
- cvedetails – 보안 취약점 전문 데이터베이스
- pluginvulnerabilities – 다양한 방식으로 플러그인 취약점으로부터 사이트를 보호하는 서비스
데이터를 안전하게 지키는 방법
사이트가 아무리 안전해 보여도 공격자가 더 영리하거나 새로운 공격 기법을 찾아낼 가능성은 항상 존재합니다. 이를 예방하려면 두 가지가 필수입니다. 바로 정기적인 업데이트와 백업입니다. WordPress 보안의 기본이자 최소한의 방어책이라 할 수 있습니다.
정기적인 업데이트
2017년에는 해킹당한 WordPress 사이트의 39.3%가 구버전을 사용하고 있었습니다. 업데이트되지 않은 설치 환경이 사이트를 얼마나 취약하게 만드는지 보여주는 수치입니다. 참고로 2016년에는 무려 61%였지만, 그렇다고 업데이트를 미룰 이유는 전혀 없습니다.
WordPress 코어만 취약한 것은 아닙니다. 앞서 말했듯이 해킹의 상당 부분은 플러그인과 테마의 취약점에서 비롯됩니다. 업데이트가 배포된다면 보안 취약점이 발견되어 개발자가 이를 수정했기 때문일 가능성이 큽니다. 업데이트를 놓치는 순간, 공격자에게 취약점을 악용할 기회를 주는 셈입니다.
백업
아쉽게도 대부분의 사람들은 데이터를 잃고 복구할 방법이 없는 경험을 하기 전까지는 백업을 생각하지 않습니다. 호스팅 장애, 업데이트 오류, 해킹 공격 등 사이트를 백업해야 할 이유는 끝없이 많습니다.
이런 문제로 모든 데이터를 잃는 일은 흔하며, 복구가 가능하다 해도 길고 번거로운 과정이 될 수 있습니다. 데이터 손실 없이 손쉽게 복원하는 가장 확실한 방법은 역시 정기적인 백업입니다.
매일 백업하라는 권장 사항을 들으면 번거롭게 느껴질 수 있지만, 이 과정을 훨씬 빠르고 간편하게 만들어 주는 서비스들이 이미 많이 있습니다.
결론: 플러그인은 안전한가?
궁극적으로 WordPress 사이트의 보안은 스스로 만들어 가는 것입니다. 사이트를 취약하게 만드는 요인은 많고 플러그인도 그중 하나지만, 결국 안전한 플러그인을 선택하고 보안을 성실히 관리하는 데서 모든 것이 갈립니다. 검증된 플러그인을 선택하고, 모든 설치 항목을 최신으로 유지하며, 정기적으로 백업한다면 더 이상 걱정할 필요가 없습니다.
WordPress에서 플러그인 관련 보안 문제를 겪어본 적이 있나요? 댓글로 경험을 공유해 주세요!
글쓴이: Irma Edite Girupniece – 영상 제작에 몰두하며 언젠가 우주 비행사가 되겠다는 꿈을 여전히 품고 있는 작가입니다.