워드프레스(WordPress)는 방대한 사용자 기반과 폭넓은 기능성 덕분에 언제나 인터넷 사기범들의 주요 표적이 되어 왔습니다. 취약한 플러그인 사용, 최신 버전 업데이트 미흡, 정기적인 보안 패치 미적용, 보안 조치 소홀 등이 워드프레스 사이트에 대한 대규모 공격의 주요 원인으로 꼽힙니다.
설치가 끝나지 않은 채 방치된 워드프레스 환경은 세계에서 가장 인기 있는 CMS를 PHP 코드 삽입(Code Injection) 공격에 취약하게 만들었습니다. 실제로 2017년 6월 한 달에만 720만 건이 넘는 공격이 발생했습니다. 이 코드 삽입 캠페인은 특히 5월과 6월에 절정에 달했는데, 공격자들은 최근 설치되었지만 아직 설정을 마치지 않은 워드프레스 설치본을 집중적으로 노렸습니다. 이러한 PHP 코드 실행 공격은 공격자에게 관리자 권한을 부여하여 순식간에 웹사이트 전체를 장악할 수 있게 만듭니다.
왜 하필 워드프레스일까?
워드프레스는 BBC America, TechCrunch, Sony Music 등 세계적으로 유명한 수많은 웹사이트를 구동하고 있습니다. 그만큼 인기가 높기 때문에 선한 관심과 악의적 관심을 동시에 끌게 됩니다. Windows OS가 데스크톱 악성코드의 주요 표적이고 Android OS가 모바일 악성코드의 주요 표적이듯, 약 59%의 시장 점유율을 차지하는 워드프레스 CMS 역시 공격자들이 가장 주목하는 플랫폼 중 하나입니다. 워드프레스 기반 사이트가 워낙 많다 보니 스패머와 사이버 범죄자들에게는 자연스러운 표적이 되며, 이들은 정상적으로 보이는 워드프레스 사이트를 해킹해 자신들의 악성코드를 무료로 숨기는 거점으로 활용합니다.
코드 삽입 공격: 워드프레스 사이트는 어떻게 공격당하는가?
대부분의 워드프레스 사용자는 호스팅 계정의 디렉터리에 설치 파일의 압축을 직접 풀거나, 호스팅 업체가 제공하는 원클릭 설치 프로그램을 통해 플랫폼을 설치합니다. 그러나 사용자가 설정 파일을 생성하기 전까지는 설치 과정이 완료된 것이 아닙니다. 바로 이 지점이 문제입니다. 설치를 끝까지 마치지 않은 사이트 소유자들은 공격에 그대로 노출됩니다.
공격자는 먼저 설정 URL(setup URL)을 스캔하여 설치 과정의 설정 단계가 완료되지 않은 워드프레스 인스턴스를 찾아냅니다. 이렇게 되면 해당 사이트는 외부 개입에 그대로 열려 있어, 제3자가 사용자를 대신해 설치를 임의로 완료할 수 있게 됩니다.
공격자가 워드프레스 사이트를 탈취하는 과정은 다음과 같습니다. 공격자는 사용자가 설치를 중단한 지점부터 작업을 이어받아, PHP 코드를 심은 테마를 적용하거나 악성 커스텀 플러그인을 생성·업로드합니다. 일단 관리자 권한을 확보하면 공격자는 손쉽게 PHP 코드를 실행하고 각종 악성 행위를 감행할 수 있습니다. 관리자 권한을 가진 공격자는 이제 호스팅 서버의 모든 파일과 웹사이트, 나아가 데이터베이스까지 자유롭게 접근할 수 있습니다.
워드프레스를 안전하게 지키기 위한 모범 보안 수칙은 관련 블로그 글을 참고하시기 바랍니다.
대응 방안
이러한 취약점을 막는 가장 확실한 방법은 설치 과정에서 워드프레스 설정을 반드시 끝까지 완료하는 것입니다. 더불어 그 어느 때보다 웹사이트 관리자는 자신의 사이트에 미완료 설치가 남아 있지 않은지 점검해야 합니다. 정기적인 모니터링과 보안 감사를 병행하면 향후 유사한 공격으로부터 사이트를 효과적으로 보호할 수 있습니다.