워드프레스 해킹 징후와 하나씩 확인하는 방법

WindowsMac업데이트

워드프레스의 해킹 FAQ는 아무도 허락하지 않은 새 사용자를 해킹의 분명한 징후로 꼽고, 구글이나 빙의 차단 목록에 오르는 것, 호스팅 업체가 사이트를 정지하는 것, 방문자의 백신이 사이트를 경고하는 것도 함께 듭니다. 구글 Search Console은 여기에 해커가 만든 리디렉션과 스팸 텍스트, 스팸 페이지를 더합니다. 대부분은 관리자 화면과 Search Console에서 확인할 수 있습니다.

간단한 답변

사용자 > 모든 사용자에서 관리자로 걸러 내가 만들지 않은 계정을 찾으세요. Google Search Console의 보안 문제 보고서에서 해킹된 콘텐츠와 삽입된 스팸, 악성 코드를 확인하세요. 페이지 > 모든 페이지와 글 > 모든 글에서 내가 쓰지 않은 내용을 찾고, .htaccess, index.php, header.php, footer.php가 바뀌었는지 살펴보세요.

워드프레스는 무엇을 해킹 징후로 보나요?

워드프레스는 이를 침해 지표(Indicators of Compromise)라고 부릅니다. FAQ가 분명한 징후로 드는 것은 다음과 같습니다.

  • 사이트가 구글, 빙 등의 차단 목록에 올랐다
  • 호스팅 업체가 사이트를 정지했다
  • 사이트가 악성코드를 퍼뜨린다고 표시되었다
  • 방문자의 백신이 사이트를 경고한다고 한다
  • 사이트가 다른 사이트를 공격하는 데 쓰인다는 연락을 받았다
  • 새 사용자처럼 내가 허락하지 않은 일이 생겼다
  • 브라우저로 사이트를 열면 해킹된 모습이 보인다

FAQ는 모든 해킹이 같지는 않다고도 말합니다. 구글은 해커가 클로킹으로 사이트 소유자에게 스팸을 숨기기도 한다고 설명하므로, 내 눈에 사이트가 멀쩡해 보인다는 것만으로는 증거가 되지 않습니다.

내가 추가하지 않은 관리자 계정은 어떻게 찾나요?

사용자 화면은 모든 계정을 보여 주고, 목록 위의 링크로 역할별로 걸러 볼 수 있습니다. 관리자부터 보세요. 워드프레스의 보안 강화 안내는 관리자 계정에 접근한 해커가 악성 스크립트를 설치할 수 있다고 말합니다.

  1. 관리자 화면에서 사용자 > 모든 사용자로 갑니다.
  2. 목록 위의 관리자 링크를 누릅니다.
  3. 각 계정의 사용자명, 이름, 이메일을 읽습니다. 모르는 계정이 있으면 발견한 날짜와 함께 적어 둡니다.
  4. 모든 사용자를 누르고 다른 역할도 훑어봅니다.
  5. 설정 > 일반에서 회원 가입과 새 사용자 기본 역할을 확인합니다. 워드프레스는 새 사용자에게 줄 기본 역할의 선택지에 관리자도 포함하고 있습니다.

지우기 전에 먼저 적어 두세요. 워드프레스 FAQ는 침해를 알게 된 뒤 가장 먼저 할 일로, 보이는 것을 기록하는 것을 듭니다.

리디렉션 해킹은 어떻게 알아보나요?

구글의 보안 문제 보고서는 코드 삽입을 해커가 사이트를 해킹하여 페이지에 악성 코드를 삽입하는 것이라고 설명하고, 그 예로 악성 리디렉션을 듭니다. 워드프레스 쪽에서는 FAQ가 .htaccess 파일을 꼭 살펴봐야 할 파일로 짚습니다. 나쁜 목적으로 가장 자주 바뀌는 파일이기 때문입니다.

  1. Search Console에서 보안 문제 보고서를 엽니다. 문제를 펼치면 영향을 받는 URL 샘플과 문제가 처음 발견된 날짜가 나옵니다.
  2. FTP나 SFTP로 사이트에 접속해 워드프레스 폴더의 .htaccess 파일을 엽니다. 내가 넣지 않은 줄이 있는지 봅니다.
  3. 다른 폴더도 확인합니다. 워드프레스는 .htaccess가 보통 설치 폴더의 최상위에 있지만 다른 폴더 안에 있을 수도 있다고 말합니다.

사이트의 스팸 페이지는 어떻게 찾나요?

구글은 두 가지를 설명합니다. 콘텐츠 삽입은 해커가 스팸성 링크나 텍스트를 사이트 페이지에 추가하는 것이고, URL 삽입은 해커가 스팸성 단어나 링크를 포함하는 새로운 페이지를 사이트에 생성하는 것입니다.

  1. 페이지 > 모든 페이지로 갑니다. 워드프레스는 최신 항목을 맨 위에 보여 주고 작성자와 날짜 열도 있으니, 목록 위쪽에서 모르는 제목을 찾습니다.
  2. 목록 위의 임시글, 비공개 같은 상태 링크로 공개되지 않은 페이지도 봅니다.
  3. 스팸에 나온 단어를 검색창에 입력하고 페이지 검색을 누릅니다.
  4. 글 > 모든 글에서도 같은 방법으로 확인합니다.
  5. 찾은 것을 보안 문제 보고서의 URL 샘플과 비교합니다.

구글 경고는 무슨 뜻인가요?

구글이 방문자에게 해로울 수 있는 문제를 찾았다는 뜻입니다. 구글은 보안 문제의 영향을 받는 페이지나 사이트가 검색결과에 경고 라벨과 함께 표시되거나, 브라우저에 전면 경고 페이지가 표시될 수 있다고 설명합니다. 워드프레스 FAQ는 경고가 큰 경고 화면부터 검색결과의 작은 표시까지 다양하며, 빙, 야후, PC용 백신도 각자의 차단 목록을 갖고 있다고 덧붙입니다.

  1. Search Console에서 보안 문제 보고서를 엽니다. 보안 문제가 없으면 녹색 체크표시가 나오고, 있으면 문제가 표시됩니다.
  2. 각 문제를 펼쳐 URL 샘플, 처음 발견된 날짜, 자세히 알아볼 수 있는 링크를 봅니다.
  3. 빙 웹마스터 도구에도 등록합니다. 워드프레스 FAQ는 빙을 포함한 웹마스터 콘솔에 등록하라고 권합니다.

구글은 보고서에 나열된 모든 문제를 모든 페이지에서 해결한 뒤 검토 요청을 선택하라고 하고, 아직 해결되지 않은 요청의 결정을 받기 전에는 다시 제출하지 말라고 합니다.

바뀐 파일은 어떻게 확인하나요?

관리자 화면은 파일 변경을 보여 주지 않습니다. 워드프레스의 보안 강화 안내는 공격이 로그나 파일 시스템에 새로 생기거나 바뀐 파일의 형태로 항상 흔적을 남긴다고 말합니다. FAQ는 바뀌면 모든 페이지에 영향을 줄 수 있는 파일로 index.php, header.php, footer.php와 테마의 functions 파일을 듭니다.

  1. 스캔을 돌립니다. 워드프레스 FAQ는 WordPress.org 디렉터리의 스캐너 플러그인과 원격 스캐너를 소개하며, 어느 하나가 최선은 아니지만 함께 쓰면 확률을 크게 높일 수 있다고 말합니다.
  2. FTP나 SFTP로 위 파일과 .htaccess를 문제가 생기기 전의 백업과 비교합니다.
  3. 호스팅 업체가 로그를 준다면 살펴봅니다. 보안 강화 안내는 로그에서 무차별 대입 시도와 테마 파일 편집기, 플러그인 파일 편집기가 쓰인 시점을 볼 수 있다고 합니다.
  4. 내 컴퓨터도 검사합니다. 워드프레스는 일부 공격이 FTP와 관리자 로그인을 가로채는 트로이 목마로 소유자의 컴퓨터에서 시작된다고 말합니다.

PHP2Shell과 관련해서는 한국인터넷진흥원(KISA)이 10월 22일 보안공지에서 업데이트 후 점검할 항목으로 웹 폴더, 업로드 폴더, 임시 폴더에 새로 생기거나 바뀐 PHP 파일(웹셸)과 홈페이지나 결제 페이지에 몰래 추가된 외부 스크립트를 들었습니다.

이 중 무엇이든 발견되면 본 것과 시점을 적어 두고 홈페이지가 해킹되었을 때 대처법을 따르세요. 호스팅 업체 연락, 비밀번호, 모르는 사용자 삭제, 깨끗한 백업, 구글 재검토, 신고까지 순서대로 다룹니다.

자주 묻는 질문

눈에 보이는 징후 없이 해킹될 수도 있나요?

네. 구글은 해커가 클로킹으로 사이트 소유자에게 스팸을 숨기기도 한다고 하고, 워드프레스 FAQ는 모든 해킹이 같지 않다고 말합니다. 그래서 사이트가 멀쩡해 보여도 보안 문제 보고서와 파일 스캔은 확인할 만합니다.

모르는 관리자 계정은 바로 지워야 하나요?

먼저 적어 두세요. 워드프레스 FAQ는 기록이 먼저이고, 감염된 상태라도 정리하기 전에 사이트를 한 번 더 백업해 두라고 합니다. 언제 지우고 모든 사용자의 비밀번호를 언제 재설정하는지는 해킹 대처 안내에서 다룹니다.

워드프레스에 더 이상 로그인할 수 없다면?

워드프레스 FAQ는 공격자가 관리자 계정을 가로채기도 한다고 말합니다. 비밀번호를 재설정하거나, 호스팅 업체의 phpMyAdmin으로 사용자 테이블에 직접 접근할 수 있습니다. FAQ가 드는 간단한 방법 하나는 거기서 내 이메일을 바꾼 뒤 로그인 화면의 비밀번호를 잊으셨나요?를 쓰는 것입니다.

내 워드프레스가 PHP2Shell 때문에 해킹된 건가요?

꼭 그렇지는 않습니다. PHP2Shell은 PHP의 취약점 두 가지이고 PHP 개발팀이 2026년 10월 21일에 고쳤습니다. 2026년 10월 23일 기준으로 CISA는 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔고, KISA는 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. PHP 버전을 확인하고, 배경은 PHP2Shell 해설을 보세요.

워드프레스를 업데이트하면 해킹이 없어지나요?

그것만으로는 아닙니다. 워드프레스 FAQ는 업데이트를 정리 다음 단계에 둡니다. 오래된 버전일수록 해킹에 취약하니 정리가 끝나면 업데이트하고, 정리 뒤에 비밀번호를 다시 바꾸라고 합니다.

출처