하루 평균 200번 공격받는 내 워드프레스 사이트의 충격적 현실
"설마 내 작은 블로그를 누가 해킹하겠어?"
2년 전 워드프레스를 처음 설치하며 품었던 나의 순진한 생각이다. 그런데 사이트 로그를 확인해보니 하루 평균 200번이 넘는 공격 시도가 들어오고 있었다. 중국, 러시아, 베트남에서 온 자동화된 봇들이 24시간 쉬지 않고 내 사이트의 관리자 계정을 뚫으려 시도하고 있었던 것이다.
더 충격적인 건, 워드프레스는 전 세계 웹사이트의 43%를 차지하는 플랫폼이라 해커들이 가장 먼저 노리는 타겟이라는 사실이다. 마치 "같은 열쇠를 쓰는 집이 동네에 43%나 되면, 그 열쇠만 따면 거의 절반을 털 수 있다"는 논리와 같다.
💡작성자 노트: "처음에는 정말 겁났다. 하지만 적절한 보안 설정만 해두면 이 모든 공격을 99% 차단할 수 있다는 걸 깨달았다. 복잡하지도 않고, 시간도 30분이면 충분하다."
이 글을 끝까지 읽어야 하는 3가지 이유:
- 해킹 복구비용 200만원 vs 예방비용 0원 - 실제 지인이 해킹당한 후 복구에 든 비용
- 30분 투자로 99%의 공격 차단 - Really Simple Security와 Wordfence만 제대로 설정하면 된다
- 2025년 최신 공격 패턴 대응법 - 과거 방법으로는 막을 수 없는 신종 위협들
워드프레스가 해커들의 1순위 타겟인 충격적인 이유
압도적인 점유율이 만든 거대한 타겟
워드프레스는 현재 **전 세계 웹사이트의 43.2%**를 차지하고 있다. 이는 해커 입장에서 보면 "하나의 공격 방법만 개발하면 절반 가까운 사이트를 공격할 수 있다"는 의미다.
실제로 내가 운영하는 사이트 로그를 분석해본 결과, 가장 많이 시도되는 공격들은 다음과 같았다:
- XML-RPC 브루트포스 공격: 하루 평균 150회 시도
- 관리자 계정 무차별 대입: /wp-admin/ 접근 시도 일일 80회
- 플러그인 취약점 스캔: 알려진 보안 허점 탐지 시도 50회
- 악성 파일 업로드: .php 확장자 파일 업로드 시도 20회
자동화된 봇넷의 24시간 공격
가장 무서운 점은 이런 공격들이 완전히 자동화되어 있다는 것이다. 해커가 직접 앉아서 공격하는 게 아니라, 전 세계에 퍼진 봇넷이 24시간 쉬지 않고 워드프레스 사이트를 스캔하고 공격한다.
실제 피해 사례:
- A씨(카페 운영): 관리자 계정 탈취 후 불법 의약품 광고글 자동 게시 → 구글 검색결과에서 6개월간 제외
- B씨(블로거): 데이터베이스 암호화 랜섬웨어 감염 → 3개월치 글 모두 삭제, 복구비용 180만원
- C씨(쇼핑몰): 고객 개인정보 유출 → 개인정보보호법 위반 과태료 500만원
💡작성자 노트: "이런 사례들을 보면서 '예방이 치료보다 100배 쉽고 저렴하다'는 걸 뼈저리게 느꼈다. 해킹당한 후 복구하는 스트레스와 비용에 비하면, 미리 보안 설정하는 건 정말 간단한 투자다."
2025년 워드프레스 보안 위협 완전 분석
XML-RPC: 워드프레스의 치명적인 뒷문
XML-RPC는 워드프레스에서 모바일 앱 연동을 위해 만든 기능이지만, 현재는 해커들이 가장 좋아하는 침입 경로가 되었다. 이 기능이 활성화되어 있으면 /xmlrpc.php 경로를 통해 무제한 로그인 시도가 가능하다.
XML-RPC 공격의 특징:
- 일반적인 로그인 페이지 보호를 우회 가능
- 한 번의 요청으로 수백 개의 비밀번호 조합 시도 가능
- 서버 리소스를 과도하게 소모시켜 사이트 속도 저하 유발
Really Simple Security 플러그인은 이런 XML-RPC 공격을 기본적으로 차단해준다. 설치 후 온보딩 과정에서 "XML-RPC 비활성화" 옵션이 자동으로 적용된다.
브루트포스 공격의 진화: 분산형 공격
과거에는 하나의 IP에서 집중적으로 로그인을 시도하는 방식이었지만, 2025년 현재는 수천 개의 다른 IP에서 조금씩 시도하는 분산형 공격이 주류가 되었다.
분산형 브루트포스의 특징:
- IP 차단으로는 방어 불가능
- 각 IP당 하루 1-2회만 시도해서 탐지 회피
- 전 세계 봇넷을 활용한 대규모 공격
이런 공격에 대응하기 위해서는 로그인 시도 횟수 제한과 2단계 인증이 필수다.
플러그인 취약점: 가장 위험한 보안 허점
워드프레스 자체는 상당히 안전하지만, 설치된 플러그인 중 하나라도 보안 허점이 있으면 전체 시스템이 위험해진다. 2024년 한 해 동안 발견된 워드프레스 플러그인 취약점은 총 2,847개에 달한다.
주요 플러그인 취약점 유형:
- SQL 인젝션: 데이터베이스 직접 접근 허용
- 파일 업로드 취약점: 악성 파일 업로드 가능
- 권한 상승: 일반 사용자가 관리자 권한 획득
Really Simple Security의 취약점 감지 기능은 설치된 플러그인의 알려진 보안 허점을 실시간으로 모니터링한다.
Really Simple Security로 30분 만에 기본 방어선 구축하기
1단계: 플러그인 설치 및 온보딩 (5분)
Really Simple Security는 워드프레스를 위한 가장 가볍고 사용하기 쉬운 보안 플러그인이다. 복잡한 설정 없이도 핵심적인 보안 기능을 한 번에 적용할 수 있다.
설치 과정:
- 워드프레스 관리자 → 플러그인 → 새로 추가
- "Really Simple Security" 검색 후 설치
- 활성화하면 1분 온보딩 과정 자동 시작
- "권장 설정 모두 적용" 클릭
온보딩에서 자동 적용되는 보안 설정:
- XML-RPC 비활성화 ✓
- 사용자 열거 차단 ✓
- 업로드 폴더에서 코드 실행 방지 ✓
- 디렉토리 검색 비활성화 ✓
- 로그인 피드백 방지 ✓
2단계: 2단계 인증(2FA) 설정 (10분)
관리자 계정 보안을 위해서는 2단계 인증이 필수다. 비밀번호가 뚫려도 핸드폰이 없으면 로그인할 수 없게 만드는 이중 보안 시스템이다.
2FA 설정 과정:
- Really Simple Security → 로그인 보호 메뉴
- "2단계 인증 활성화" 클릭
- 이메일 인증 방식 선택 (가장 간단함)
- 테스트 로그인으로 정상 작동 확인
- 백업 코드를 안전한 곳에 저장 (중요!)
💡작성자 노트: "2FA 설정할 때 백업 코드 저장을 깜빡하고 넘어가는 사람들이 많다. 핸드폰 잃어버리거나 고장나면 사이트에 못 들어가니까 꼭 메모장에 저장해두자."
3단계: 강력한 비밀번호 정책 적용 (5분)
워드프레스 기본 비밀번호 정책은 너무 관대하다. 강력한 비밀번호 강제 적용으로 브루트포스 공격을 원천 차단해야 한다.
비밀번호 강화 설정:
- 최소 15자 이상
- 대소문자, 숫자, 특수문자 혼합 필수
- 3개월마다 변경 권장
- 일반적인 단어 조합 금지
좋은 비밀번호 예시: MyB10g$ecur3!2025
나쁜 비밀번호 예시: password123, admin2025
4단계: 로그인 시도 제한 설정 (5분)
동일 IP에서 5회 이상 로그인 실패 시 24시간 차단하는 설정을 적용한다. 이것만으로도 브루트포스 공격의 90%를 막을 수 있다.
5단계: 보안 점수 확인 (5분)
모든 설정이 완료되면 Really Simple Security 대시보드에서 보안 점수를 확인한다. 80점 이상이면 기본 보안 설정이 완료된 것이다.
Wordfence로 실시간 공격 차단 시스템 만들기
Wordfence Security: 워드프레스 방화벽의 최강자
Really Simple Security로 기본 보안을 구축했다면, 이제 Wordfence Security로 실시간 공격 차단 시스템을 만들어야 한다. Wordfence는 방화벽 기능과 더불어 멀웨어 스캔 등 보안을 향상하는 아주 중요한 기능을 담당한다.
1단계: Learning Mode로 정상 트래픽 학습
Wordfence를 처음 설치하면 Learning Mode를 1주일간 활성화해야 한다. 이 기간 동안 정상적인 방문자들의 행동 패턴을 학습해서 오탐(정상 접속 차단)을 최소화한다.
Learning Mode 설정법:
- Wordfence 설치 후 활성화
- 대시보드에서 "Learning Mode 시작" 클릭
- 1주일 동안 평소처럼 사이트 운영
- 기간 종료 후 "Live Mode"로 전환
2단계: 실시간 트래픽 모니터링
Live Traffic 기능으로 실시간으로 누가 내 사이트에 접속하고 있는지 확인할 수 있다. 의심스러운 접속은 즉시 차단 가능하다.
모니터링해야 할 의심 신호:
- 짧은 시간에 수많은 페이지 접근
- /wp-admin/ 경로 반복 접속 시도
- 존재하지 않는 파일 접근 시도
- 알려진 해킹 도구의 User-Agent
3단계: 방화벽 규칙 커스터마이징
Wordfence의 방화벽은 404 차단, 지역 차단, IP 차단 등 다양한 규칙을 설정할 수 있다.
추천 방화벽 설정:
- 404 오류 10회 이상 발생 IP 자동 차단
- 중국, 러시아 등 고위험 국가 접속 제한 (필요시)
- 알려진 악성 IP 데이터베이스 연동
- VPN/프록시 접속 차단
💡작성자 노트: "Wordfence 설치 후 첫 주에는 하루에 50-100개의 공격이 차단되는 걸 실시간으로 볼 수 있었다. 마치 집에 경비원이 생긴 것 같은 안전감이 들더라."
관리자 계정 철벽 보안 - 2단계 인증 완전 가이드
사용자명 'admin' 사용 금지
워드프레스 설치 시 관리자 사용자명을 'admin'으로 설정하는 건 자살행위다. 해커들은 기본적으로 'admin' 계정부터 공격하기 때문이다.
안전한 사용자명 예시:
- 개인 이름의 변형: john_writer_2025
- 무의미한 조합: site_manager_xyz
- 회사명 조합: myblog_admin_kim
강력한 비밀번호 생성 규칙
2025년 기준 안전한 비밀번호 조건:
- 15자 이상 (20자 이상 권장)
- 대문자, 소문자, 숫자, 특수문자 모두 포함
- 개인정보 (생일, 이름, 전화번호) 사용 금지
- 사전에 있는 단어 조합 금지
비밀번호 생성 방법:
- 기억하기 쉬운 문장 선택: "My Blog Secure Password 2025!"
- 첫 글자만 추출: "MBSp2025!"
- 숫자와 특수문자 추가: "MBSp@2025!$"
- 최종 결과: MBSp@2025!$ (12자 → 더 길게 확장 권장)
2단계 인증 심화 설정
기본적인 이메일 인증 외에도 TOTP(Time-based One-Time Password) 방식을 사용하면 보안이 더욱 강화된다.
TOTP 설정 과정:
- Google Authenticator 앱 설치
- Really Simple Security → 로그인 보호
- "TOTP 인증 활성화" 선택
- QR 코드를 앱으로 스캔
- 생성된 6자리 코드로 인증 테스트
지속적 보안 관리 루틴 - 주간 점검표
매주 일요일 보안 점검 루틴
워드프레스 보안은 '한 번 설정하고 끝'이 아니라 지속적인 관리가 필요하다. 매주 30분씩 투자해서 보안 상태를 점검하자.
주간 보안 점검표:
- Wordfence 전체 스캔 실행
- 차단된 공격 시도 현황 확인
- 플러그인/테마 업데이트 확인
- 백업 파일 생성 및 다운로드
- 로그인 시도 로그 분석
- 서버 리소스 사용량 체크
월간 보안 대청소
매월 첫째 주에 할 일:
- 사용하지 않는 플러그인/테마 삭제
- 관리자 비밀번호 변경 (3개월마다)
- 데이터베이스 최적화 실행
- SSL 인증서 만료일 확인
- 서버 로그 파일 정리
보안 사고 대응 매뉴얼
해킹 의심 징후:
- 사이트 속도 급격한 저하
- 모르는 글/댓글 자동 생성
- 구글 검색결과에서 악성코드 경고
- 관리자 페이지 접속 불가
즉시 대응 방법:
- 해당 사이트 접속 즉시 중단
- 호스팅 업체에 긴급 연락
- 최신 백업으로 사이트 복원
- 모든 사용자 비밀번호 강제 변경
- 보안 플러그인으로 전체 스캔
💡작성자 노트: "실제로 지인이 해킹당했을 때 보니까, 미리 준비된 대응 매뉴얼이 있느냐 없느냐에 따라 복구 시간이 몇 시간에서 몇 주까지 차이가 났다. 평상시 준비가 정말 중요하다."
워드프레스 보안의 미래: 2025년 이후 전망
AI 기반 공격의 증가
2025년 하반기부터는 AI를 활용한 공격이 급증할 것으로 예상된다. ChatGPT 같은 생성형 AI가 해킹 도구 개발에 악용되고 있기 때문이다.
대응 방안:
- AI 기반 보안 솔루션 도입
- 행동 패턴 분석을 통한 이상 징후 탐지
- 제로 트러스트 보안 모델 적용
클라우드 보안의 중요성
워드프레스 사이트가 클라우드로 이전되면서 서버 레벨 보안이 더욱 중요해지고 있다. 단순히 플러그인만으로는 한계가 있다.
클라우드 보안 강화 방안:
- CDN을 통한 DDoS 공격 방어
- 웹 애플리케이션 방화벽(WAF) 적용
- 서버 접근 로그 모니터링 강화
마무리: 30분 투자로 평생 안전 보장
워드프레스 보안은 생각만큼 복잡하지 않다. Really Simple Security와 Wordfence Security 두 개의 플러그인만 제대로 설정해도 99%의 공격을 막을 수 있다.
지금 당장 해야 할 3가지:
- Really Simple Security 설치 - 5분이면 기본 보안 완료
- 2단계 인증 설정 - 관리자 계정 이중 보안
- 주간 점검 루틴 시작 - 매주 일요일 30분 투자
해킹당해서 복구하는 데 드는 비용 200만원, 시간 2주, 스트레스 측정불가에 비하면, 예방은 정말 간단하고 저렴한 투자다.
"완벽하게 하려고 미루지 말고, 지금 당장 기본부터 시작하자."
워드프레스 보안의 핵심은 완벽함이 아니라 지속성이다. 매주 30분씩 꾸준히 관리하는 사이트는 절대 뚫리지 않는다. 반대로 아무리 완벽하게 설정해도 방치하면 언젠가는 뚫린다.
보안은 목적지가 아니라 여행이다. 함께 안전한 워드프레스 여행을 시작해보자.