홈페이지 해킹, 우리 회사 사이트는 괜찮을까 — 가짜 로봇 인증 · PHP 취약점 점검 5가지

정상 홈페이지가 악성코드 유포 · 통신 거점으로 쓰인 사례가 잇따릅니다. 중소 브랜드 홈페이지가 지금 확인할 5가지와 해킹을 알게 됐을 때 신고 기한을 정리했습니다.

결론부터 말씀드리면, 회사 규모와 상관없이 지금 한 번 점검하시는 것이 좋습니다. 최근 공격은 큰 기업만 노리지 않고, 정상 홈페이지를 빌려 방문자에게 악성코드를 퍼뜨리거나 공격 통신을 숨기는 데 씁니다. 점검의 출발점은 「우리 사이트가 무엇으로 만들어졌고, 누가 업데이트를 책임지는지」 를 아는 것입니다.

요즘 무슨 일이 있었나 — 정상 홈페이지가 「경유지」 가 된다

11월 3일 연합뉴스 보도에 따르면, 서울의 한 대학 홈페이지에 며칠 동안 가짜 「로봇 인증」 화면이 떴습니다. 정상 인증 절차처럼 보이게 해 방문자가 직접 악성 명령어를 실행하도록 유도하는 수법으로, 학교는 「'Windows 키 R', 'Ctrl V', 'Enter'를 누르라는 안내가 나오면 절대 따라 하지 마시고 창을 닫아달라」 고 안내했습니다.

11월 1일에는 글로벌 보안업체 카스퍼스키 보고서를 인용해, 국내 학회 · 언론사 · 건설사 · 인테리어 업체 등의 정상 웹사이트 주소가 악성코드의 명령제어(C2) 통신 거점 목록에 포함됐다는 보도도 나왔습니다. 다만 해당 사이트들이 실제로 어떻게 악용됐는지, 침해 범위는 어디까지인지는 확인되지 않았다고 기사는 전했습니다.

대학 사례는 홈페이지가 방문자에게 피해를 옮기는 통로가 됐고, 11월 1일 사례는 정상 사이트가 공격 통신을 숨기는 데 쓰였을 가능성이 제기됐습니다. 저희 기준으로는 브랜드 홈페이지가 이렇게 쓰이면 고객 신뢰에 가장 먼저 금이 간다고 봅니다.

점검 1 — 우리 사이트가 무엇으로 돌아가는지 목록부터

한국인터넷진흥원(KISA)은 10월 22일 PHP 보안 취약점 관련 기업 보안 대응 수칙을 내고, 로그인 없이 외부에서 서버에 명령을 실행할 수 있는 치명적 취약점이 발견됐다고 알렸습니다. 공격에 성공하면 웹셸 설치, 고객정보 유출, 홈페이지 변조 등이 가능하다고 설명합니다.

이 수칙의 첫 항목이 「운영 중인 PHP 사용 현황 확인」 입니다. 특히 다음을 빠뜨리지 말라고 적었습니다.

외주 제작 사이트, 오래전에 만들어 두고 관리하지 않는 사이트
이벤트 · 테스트 서버, 관리자 페이지
자산 목록이 아니라 실제 동작 중인 서버를 기준으로 확인

저희가 본 중소 브랜드 사이트에서는 메인 홈페이지 말고도 예전 이벤트 페이지, 프로모션용 하위 도메인, 리뉴얼 전 옛 사이트가 그대로 열려 있는 경우가 많았습니다. 저희 기준으로는 도메인 관리 화면에서 연결된 하위 도메인을 모두 뽑아 「지금도 쓰는가」 를 한 줄씩 표시하는 것부터 권합니다.

점검 2 — 업데이트는 누가 하나요 (호스팅 · 외주사에 확인)

KISA 수칙은 호스팅 업체나 솔루션 제조사가 PHP를 관리한다면 해당 업체에 조치 적용 여부를 확인하고 요청하라고 안내합니다. 해결 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이고, 8.1 이하는 공식 업데이트가 없어 지원 버전으로 옮기라고 권고합니다. PHP 8.2도 2026년 12월 31일 보안 지원이 끝날 예정이라 8.3 이상 전환을 권장합니다.

워드프레스처럼 플러그인을 쓰는 사이트는 플러그인 업데이트도 따로 챙겨야 합니다. KISA는 11월 2일에도 워드프레스 weDevs Project Manager 플러그인(4.1.2 미만)의 위험한 파일 업로드 취약점에 대한 보안 업데이트를 권고했습니다. 계약서에 「유지보수」 가 없거나 끝났다면, 지금 업데이트를 맡은 사람이 아무도 없을 수 있습니다.

점검 3 — 관리자 계정과 외부 계정 정리

KISA가 10월 3일 낸 「최근 사이버공격 대비 기업 보안강화 권고」 는 관리자 · 원격접속 계정에 다중인증(MFA)을 적용하고, 미사용 계정과 불필요한 권한을 회수하라고 권고합니다. 유지보수를 위한 외부 계정은 최소 권한으로 만들고 사용 뒤 반드시 제거하라는 내용도 있습니다.

저희가 본 사이트에서는 제작사 · 퇴사자 · 예전 마케팅 대행사 계정이 관리자 권한 그대로 남아 있는 경우가 많았습니다. 보통 리뉴얼이나 담당자 교체 시점에 한 번 정리하는 것이 가장 수월합니다.

점검 4 — 쓰지 않는 기능 · 파일 닫기

같은 권고는 관리자 페이지와 데이터베이스 관리 기능을 필요한 대상 · 경로에서만 접근하도록 제한하고, 웹 공개 경로에 환경설정 파일 · 백업 파일 · 상세 오류정보가 노출되는지 점검하라고 안내합니다. 파일 업로드 경로에서는 서버 측 스크립트가 실행되지 않도록 설정하라는 항목도 있습니다.

저희 기준으로는 문의 폼에 파일 첨부가 꼭 필요한지, 예전 게시판을 아직 열어 둘 이유가 있는지부터 따져 보면 닫을 것이 꽤 나옵니다.

점검 5 — 해킹을 알게 되면 24시간 안에 신고

2026년 10월 2일 시행 정보통신망법 제48조의3은 정보통신서비스 제공자가 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 정합니다. 신고를 하지 않거나 늦게 하면 제76조에 따라 5천만원 이하의 과태료 대상입니다. 법이 말하는 정보통신서비스 제공자에는 영리를 목적으로 전기통신역무를 이용해 정보를 제공하는 자가 포함되므로, 영업용 홈페이지 · 쇼핑몰 운영자도 해당할 수 있습니다. 같은 조 제4항은 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하도록 정합니다.

KISA 상담은 국번 없이 118입니다. 저희 기준으로는 의심 화면을 발견하면 바로 캡처와 발견 시각을 남기고, 호스팅 · 제작사에 알린 뒤 신고 여부를 함께 판단하는 순서를 권합니다.

스너그 관점 — 「예쁜 사이트」 보다 「주인이 있는 사이트」

홈페이지를 새로 만들 때 디자인만큼 따져 볼 것이 운영 구조입니다. 저희 기준으로는 소개 · 포트폴리오 중심의 브랜드 사이트라면 서버에서 프로그램이 돌지 않는 정적 사이트 구조를 먼저 검토하고, 문의 폼이나 결제처럼 꼭 필요한 기능만 검증된 외부 서비스에 맡기는 쪽을 권합니다. 고칠 부품이 적을수록 업데이트를 놓칠 일도 줄어듭니다. 이미 워드프레스나 PHP 기반 사이트를 쓰고 있다면 바꾸기보다, 위 다섯 가지를 담당자 이름과 함께 한 장의 표로 정리해 두는 것이 현실적인 첫걸음입니다.

이 글은 일반 정보입니다. 개별 제품 · 계약은 담당 기관이나 전문가에게 확인하세요.

자주 묻는 질문

작은 회사 소개 홈페이지도 해킹 대상이 되나요?

될 수 있습니다. 최근 보도에서도 인테리어 업체 등 일반 기업 사이트 주소가 악성코드 통신 거점 목록에 포함됐습니다. 저희 기준으로는 오래 관리하지 않은 사이트일수록 업데이트가 밀려 있기 쉽다고 봅니다.

가짜 로봇 인증 화면은 어떻게 구별하나요?

정상적인 로봇 인증은 보통 '로봇이 아닙니다' 같은 문구를 누르는 정도에서 끝납니다. 보도된 사례처럼 'Windows 키 R', 'Ctrl V', 'Enter' 같은 안내가 나오면 따라 하지 말고 창을 닫은 뒤, 사이트 운영자라면 바로 제작사 · 호스팅 업체에 알리는 것이 좋습니다.

해킹 신고는 어디에, 언제까지 하나요?

정보통신서비스 제공자(영리 목적의 홈페이지 · 쇼핑몰 운영자도 해당할 수 있습니다)는 정보통신망법 제48조의3에 따라 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고해야 합니다. 상담은 국번 없이 118로 할 수 있습니다.