매일 약 500개 이상의 새로운 워드프레스 사이트가 탄생하고 있습니다. 인상적인 숫자죠. 하지만 안타깝게도 이런 폭발적인 인기에는 대가가 따릅니다. 이 글에서는 가장 흔하게 발생하는 워드프레스 해킹 기법들을 소개하고, 내 사이트의 취약점을 어떻게 보호할 수 있는지 자세히 알려드립니다.
통계에 따르면 워드프레스는 CMS 중에서 해킹 피해가 가장 많은 시스템이기도 합니다. 한 연구에서 분석한 감염된 웹사이트 8,000개 중 무려 74%가 워드프레스 기반 사이트였습니다. 물론 이것이 워드프레스 코어 자체가 허술하다는 의미는 아닙니다. 단지 해커들의 공격 기법이 갈수록 교묘해지고 있을 뿐입니다.
당신의 사이트도 언제든 공격 대상이 될 수 있습니다
윤리적 해킹을 업으로 하는 전문가의 입장에서 말씀드리면, 규모나 운영 기간과 상관없이 모든 워드프레스 사이트는 잠재적인 위험에 노출되어 있습니다. 해커들이 유명 사이트만 노리는 것이 아닙니다. 오히려 보안 조치가 미흡해 쉽게 침입할 수 있는 중소 규모 사이트를 더 선호합니다. 실제로 상당수 사이버 공격은 웹사이트의 특정 취약점을 자동으로 찾아내도록 프로그래밍된 봇(bot)을 통해 이루어집니다.
때로는 해커가 내 사이트와 인기 있는 사이트를 구분하지 않습니다. 작은 사이트는 보안 장치가 상대적으로 부족하기 때문에 오히려 해킹에 더 취약합니다. '내 사이트는 너무 초라해서 해커가 관심 가질 리 없다'고 생각한다면, 다시 생각해 보세요. 해커는 당신의 사이트를 스팸 발송, SEO 스팸, 악성 리다이렉트 등에 활용할 가능성이 높습니다. 일단 사이트의 허점을 찾으면, 해커에게 끝없는 악용 기회가 열리는 셈입니다.
가장 흔한 6가지 웹사이트 해킹 기법
해커들은 다양한 형태의 공격을 시도합니다. 대표적인 공격 유형은 다음과 같습니다.
- DDoS 공격
- 크로스 사이트 스크립팅(XSS) 공격
- 링크 인젝션 공격
- SQL 인젝션 공격
- 세션 하이재킹
- 클릭재킹 공격
- 워드프레스 재패니즈 해킹 등
다행히도 워드프레스 사이트에 영향을 줄 수 있는 대부분의 위협은 효과적으로 예방할 수 있습니다. 먼저 이런 해킹 유형에 대한 정확한 지식을 갖춰야 올바른 대응 조치를 취할 수 있습니다.
1. 플러그인 취약점
워드프레스를 깊이 있게 사용해 본 분이라면, 사이트 개발 과정에서 플러그인이 큰 역할을 했을 겁니다. 워드프레스는 개발자와 비개발자 모두를 위해 설계된 플랫폼이고, 빠르게 온라인 존재감을 구축하려는 사람들에게 플러그인은 부족한 기능을 손쉽게 채워주는 든든한 해결책입니다.
그러나 안타깝게도 플러그인은 워드프레스 생태계에서 해킹 공격에 가장 취약한 요소로 꼽힙니다. 물론 플러그인 개발자들만 탓할 문제는 아닙니다. 해커들이 플러그인 코드 속 취약점을 찾아내 민감한 정보에 접근하는 경우가 많기 때문입니다.
대처 방법
- 플러그인 항상 최신 버전 유지: 취약점 노출을 최소화하는 가장 확실한 방법은 플러그인을 꾸준히 업데이트하는 것입니다. 업데이트를 통해 이전 버전의 알려진 취약점이 패치됩니다.
- 플러그인 보안 스캐너 활용: 자동화된 스캐너로 플러그인의 보안 문제를 진단하고, 보안 이슈가 감지될 때마다 실시간 알림을 받도록 설정하세요.
- 방치된 플러그인은 피하기: 워드프레스 공식 플러그인 저장소에는 검증된 플러그인 목록이 있습니다. 12개월 이상 업데이트되지 않은 플러그인은 확인 후 사용을 피하세요.
2. 무차별 대입(Brute Force) 공격과 취약한 비밀번호
로그인 보안이 부족하면 해커에게 또 하나의 침입 통로를 열어주는 셈입니다. 해커들은 쉽게 구할 수 있는 소프트웨어 도구를 활용해 비밀번호를 추측하고 시스템에 강제로 침입합니다.
악성 해커는 Wireshark(스니퍼)나 Fiddler(프록시) 같은 도구를 사용해 워드프레스 로그인 정보를 가로채고 개인 정보 및 기타 민감한 데이터를 탈취합니다.
또한 무차별 대입 공격은 인증 정보 관리가 허술한 사용자에게 큰 위협이 됩니다. 이런 공격으로 해커는 수천 개의 비밀번호 조합을 시도해 로그인에 성공할 수 있습니다. 비밀번호가 12345678이나 admin123이라면 이제 당연히 바꿔야겠죠?
대처 방법
- 더 안전한 사용자 이름과 비밀번호를 사용하고 정기적으로 변경하세요.
- HTTPS 연결을 적용해 해커가 프록시 도구로 웹 트래픽을 분석하지 못하도록 차단하세요.
- 이메일이나 SMS로 인증 코드를 전송하는 2단계 인증(2FA)을 추가 인증 절차로 도입하세요.
3. 워드프레스 코어 취약점
세상에 완벽한 것은 없습니다. 워드프레스 생태계 내의 취약점을 발견하는 데는 시간이 걸리고, 이 지연이 수많은 사용자를 심각한 데이터 유출 위험에 빠뜨릴 수 있습니다. 다행히 워드프레스 팀은 정기적으로 보안 패치와 업데이트를 배포하고 있습니다. 2018년 12월에는 다양한 보안 업데이트와 흥미로운 신기능이 포함된 워드프레스 5.0이 출시되기도 했습니다.
대처 방법
- 가능한 한 항상 최신 워드프레스 버전으로 업데이트하는 습관을 들이세요.
- 대시보드 메뉴의 '업데이트' 페이지에서 손쉽게 최신 업데이트를 적용할 수 있습니다.
4. 안전하지 않은 테마
검색 엔진에서 마음에 드는 무료 테마를 발견하면 설치하고 싶은 유혹을 느낄 때가 있습니다. 하지만 그 테마가, 특히 무료라면, 정말 안전한지 어떻게 확신할 수 있을까요? 많은 무료 테마는 활발하게 관리되지 않거나 처음부터 완성도가 낮게 만들어졌습니다. 이런 테마는 오래된 플러그인만큼이나 해킹에 취약합니다. 다만 모든 무료 테마가 위험한 것은 아닙니다. 정기적으로 업데이트하고 적극적으로 지원하는 개발자들이 만든 훌륭하고 신뢰할 만한 무료 테마도 충분히 존재합니다.
대처 방법
- 출처를 철저히 확인하지 않은 무료 테마는 사용하지 마세요.
- 평판 좋은 개발자와 테마 마켓에서 고품질 테마를 받으세요.
- 워드프레스 테마에 악성 코드가 포함되었는지 정기적으로 스캔하세요.
5. 호스팅 환경의 취약점
해커에게 인기 있는 또 다른 침입 경로는 바로 호스팅 시스템입니다. 워드프레스 사이트가 호스팅되는 SQL 서버는 잠재적인 공격 대상이며, 저품질 또는 공유 호스팅 서비스를 이용하면 취약해질 수 있습니다. 공유 호스팅에서는 같은 서버에 있는 한 사이트가 해킹당하면 문제가 됩니다. 이 경우 공격자가 동일 서버의 다른 웹사이트에도 무단으로 접근할 수 있기 때문입니다.
대처 방법
- 공유 호스팅을 선택할 경우, 보안 기능을 우선시하는 품질 좋은 호스팅 업체를 고르세요.
- 또 다른 방법은 VPS(가상 사설 서버)를 사용해 독립된 서버에 사이트를 호스팅하는 것입니다.
- 단점은 공유 호스팅보다 비용이 더 많이 든다는 점입니다.
6. 멀웨어 및 DDoS 공격
웹사이트 멀웨어는 인터넷 곳곳에 존재하며 워드프레스 사이트도 예외가 아닙니다. DDoS(분산 서비스 거부) 공격과 멀웨어는 웹사이트에 가장 흔한 위협 중 하나입니다.
멀웨어는 사이트에 백도어를 만들거나 파일에 바이러스를 감염시키는 반면, DDoS 공격은 봇을 이용해 대량의 가짜 트래픽을 몰아붙여 사이트를 마비시키는 것을 목표로 합니다. 공유 호스팅 환경에서는 사이트에 감당하기 어려운 트래픽 급증이 발생해 다운될 수도 있습니다. 공유 호스팅은 각 사이트에 할당되는 시스템 자원에 한계가 있기 때문입니다. 멀웨어와 DDoS는 모두 위험한 해킹 기법이며, 해커는 이를 함께 또는 따로 활용해 사이트를 장악하고 문제를 일으킬 수 있습니다.
대처 방법
- 멀웨어 스캔 시스템: 웹에는 수많은 멀웨어가 존재하며 어떤 종류든 워드프레스 사이트를 위협할 수 있습니다. 사이트 파일을 자동으로 검사하는 멀웨어 스캐닝 시스템을 도입해 보호하세요. 스캐너가 해킹을 발견하면 즉시 조치를 취할 수 있습니다. 클린업 플러그인을 사용하거나 웹사이트 멀웨어 제거 전문 서비스에 맡겨 전문가의 도움을 받는 것도 좋은 방법입니다.
- DDoS 방어: 스마트 방화벽을 도입하고 봇으로부터 오는 위협을 실시간으로 감지·차단하는 지능형 시스템을 활용하세요. 웹 트래픽 요청을 실시간으로 모니터링하며, 악성 코드/멀웨어뿐 아니라 비정상 트래픽까지 방어해야 합니다.
워드프레스 사이트를 취약점으로부터 지키는 방법
내 워드프레스 사이트가 해킹당했다는 사실을 알게 되는 것은 악몽 같은 일입니다. 일단 사이트가 침해되면 해커는 favicon.ico 멀웨어 같은 바이러스를 생성하고 악성 활동을 실행합니다. Google이 해킹당한 사이트를 발견하면 해당 사이트를 블랙리스트에 등록하고, 호스팅 업체는 계정을 정지시킬 수 있습니다.
어떤 워드프레스 사이트든 해킹당할 가능성은 있지만, 워드프레스 보안 모범 사례를 실천하고 잠재적 보안 위험을 인식하고 있다면 충분히 보호할 수 있습니다. 또한 사이트를 HTTP에서 HTTPS로 전환하고 로그인 페이지를 보호하는 조치를 취하는 것도 효과적입니다.
앞서 언급한 보안 조치 외에도 신뢰할 수 있는 워드프레스 백업 계획을 세워야 합니다. 정기적인 백업을 설정하고 민감한 데이터에 가해진 모든 변경 사항을 기록하는 것이 무엇보다 중요합니다. 백업 파일을 안전한 원격 위치로 오프사이트 전송할 수 있는지 반드시 확인하고, 필요할 때 백업을 복원할 수 있는 기능이 전략에 포함되어 있는지도 점검하세요.
올바른 지식과 전략만 있다면 해킹 공격으로부터 사이트를 지키고 안전하게 운영할 수 있습니다.
사이트를 보호하는 좋은 방법 중 하나는 보안 플러그인을 설치하는 것입니다. 보안 플러그인은 웹사이트 보호 조치를 구현하는 데 도움을 주고 매일 사이트를 스캔합니다. 악성 활동이 감지되면 즉시 알림을 보내줍니다. (추천 자료 – 해킹당한 웹사이트 복구)
해커의 공격 자체를 막을 수는 없지만, 워드프레스 사이트를 안전하게 지키는 일은 분명 당신의 손에 달려 있습니다!
지금 내 사이트가 공격받고 있나요?
MalCare로 바로 스캔해 보세요!