"우리 회사는 대기업도 아니고 개인정보도 별로 없는데, 해커들이 굳이 우리 홈페이지를 공격할 이유가 있을까요?"

보안 점검 미팅 때 많은 대표님들이 하시는 말씀입니다. 하지만 해커들은 특정 회사를 노리고 일일이 타깃 공격을 감행하지 않습니다. 24시간 내내 인터넷을 돌아다니는 자동화 공격 봇(Bot)을 돌려, 보안이 허술한 사이트를 무작위로 찾아낸 뒤 악성코드를 심어둡니다.

이렇게 침투당한 기업 웹사이트는 어느 날 갑자기 해외 도박 사이트로 강제 이동되거나, 스팸 메일 발송 서버로 악용되어 포털에서 '유해 사이트'로 지정됩니다. 최악의 경우 고객 문의 내역과 DB가 암호화되는 랜섬웨어 피해로 이어집니다. 오늘 위드스텝에서는 소규모 기업이라도 반드시 적용해야 할 핵심 웹사이트 침해 방어 수칙을 정리해 드립니다.

1. 관리자 기본 접속 경로(URL) 은닉과 'admin' 계정 폐기

해커 봇이 웹사이트를 스캔할 때 가장 먼저 확인하는 주소는 /admin, /adm, /wp-admin, /login입니다. 여기에 아이디가 'admin' 또는 'master'이고 비밀번호가 단순하다면 분당 수백 번씩 비밀번호를 대입하는 사전 대입 공격(Brute Force)에 순식간에 뚫리게 됩니다.

• 관리자 URL 커스텀 변경: 기본 관리자 접속 경로를 회사만의 고유한 복합 문자열 경로(예: /withstep_gate_2026)로 변경하거나, 관리자 페이지만 사내 공인 IP에서만 접속 가능하도록 웹 서버 레벨(Nginx/Apache)에서 접근을 제한해야 합니다.
• 로그인 실패 횟수 제한: 5회 이상 연속 비밀번호 오류 시 해당 IP의 접근을 30분간 자동 차단하는 정책을 필수로 적용해야 합니다.

2. 파일 업로드 취약점과 악성 웹셸(WebShell) 원천 차단

게시판이나 온라인 문의 폼의 '파일 첨부' 기능은 해커들이 가장 선호하는 침투 통로입니다. 이미지 파일처럼 위장한 악성 PHP 스크립트(웹셸)를 업로드한 뒤 브라우저에서 실행시켜 서버 내부의 모든 파일과 DB를 탈취합니다.

• 업로드 폴더의 스크립트 실행 권한 박탈: 사용자가 업로드한 파일이 저장되는 /data, /uploads 디렉터리 내에서는 .php, .cgi, .html 등의 스크립트가 실행되지 않도록 웹 서버 설정(.htaccess 또는 Nginx location 차단)을 반드시 걸어두어야 합니다.
• MIME 타입 검증과 파일명 난수화: 단순 확장자 체크뿐 아니라 파일의 실제 바이너리 헤더를 검증하고, 저장 시 원래 파일명을 무작위 암호화 문자열로 변환하여 외부에서 직접 호출하지 못하게 차단해야 합니다.

<FilesMatch "\.(php|phtml|php3|php4|php5|php7|phps|cgi|pl|exe)$">
    Order Deny,Allow
    Deny from all
</FilesMatch>

3. 온라인 견적/문의 폼의 자동화 스팸 봇 및 SQL 인젝션 방어

홈페이지 문의 게시판에 매일 수십 통씩 외국의 도박, 암호화폐 스팸 글이 등록된다면 이미 사이트가 봇의 타깃 데이터베이스에 등록되었다는 뜻입니다.

• 보이지 않는 캡차(reCAPTCHA v3 / Turnstile): 고객에게 번거로운 문자 입력을 요구하지 않고 백그라운드에서 마우스 궤적과 브라우저 신호를 분석해 봇을 99% 이상 자동 차단하는 스마트 캡차를 도입해야 합니다.
• SQL 인젝션 방지(Prepared Statements): 입력 폼에 따옴표(')나 특수문자를 집어넣어 데이터베이스 구조를 조작하는 공격을 막기 위해 모든 DB 쿼리는 프리페어드 스테이트먼트(Prepared Statements)로 파라미터화해야 합니다.

4. 최후의 생명선: 원격 분리 자동 백업 시스템 구축

완벽한 보안은 없습니다. 어떤 기업도 100% 안전을 장담할 수 없기 때문에, 보안의 종착역은 '사고 발생 시 30분 이내에 정상 시점으로 복구할 수 있는 무결성 백업'이 준비되어 있는가입니다.

• 동일 서버 백업의 위험성: 호스팅 서버 내부에 백업 파일을 보관하면 랜섬웨어나 하드웨어 고장 시 백업본까지 함께 손상됩니다.
• 격리된 외부 클라우드/스토리지 전송: 매일 자정 생성되는 DB 덤프와 주간 파일 백업본을 외부 독립 스토리지(NAS 또는 클라우드 오브젝트 스토리지)로 암호화 전송하는 자동화 스크립트를 운영해야 합니다.

• 목록