망할 뻔했던 내 워드프레스! 소규모 사업자가 당장 알아야 할 10가지 보안 꿀팁

안녕하세요. 사업 7년 차, N잡러의 삶을 살고 있는 ‘워프 아재’입니다. 🧔‍♂️

오늘은 제가 겪었던 아찔한 경험을 바탕으로, 소규모 사업자분들을 위해 워드프레스 보안에 대해 이야기해 보려고 합니다.

저도 처음엔 보안이라는 게 남의 일인 줄 알았어요. “설마 내 작은 사이트를 누가 해킹하겠어?”라는 안일한 생각이었죠.

하지만 2년 전, 그 ‘설마’가 현실이 되어 제 사업에 엄청난 위기를 가져왔습니다.

결론부터 말씀드리면, 내 워드프레스는 내가 지켜야 합니다.

정말이에요. 해커들은 당신의 사이트 크기나 방문자 수를 신경 쓰지 않아요. 그들에게 당신의 사이트는 그저 ‘뚫기 쉬운’ 대상일 뿐입니다.

그래서 오늘은 제가 직접 해킹당해 보고, 전문가들의 도움을 받아 제 사이트를 철옹성으로 만든 경험과 노하우를 10가지로 압축해서 알려드릴게요.

이 글을 끝까지 읽으시면, 당신의 소중한 비즈니스를 해커들의 위협으로부터 안전하게 보호할 수 있는 확실한 방법을 알게 되실 겁니다.

준비되셨나요? 그럼 시작해 보겠습니다.

—

—

1. 비밀번호는 절대 쉬운 걸로 만들지 마세요. 해커들은 당신의 생일보다 똑똑합니다.

아무리 강조해도 지나치지 않은 부분입니다. 제게 해킹을 당한 가장 큰 이유도 바로 이 ‘비밀번호’ 때문이었어요.

제 워드프레스 관리자 아이디는 ‘admin’이었고, 비밀번호는 ‘12345678’ 같은 뻔한 숫자 조합이었습니다.

아니, 저는 나름 꽤 긴 비밀번호를 썼다고 생각했는데, 알고 보니 그게 해커들 사이에서는 밥 먹듯이 시도하는 ‘무차별 대입 공격(Brute Force Attack)’에 취약한 패턴이었다는 걸 나중에야 알았죠.

해커들이 사용하는 프로그램은 초당 수천, 수만 개의 비밀번호 조합을 자동으로 시도합니다.

당신이 “나는 꽤 복잡하게 만들었어!”라고 생각하는 ‘qwe1234’ 같은 것도 찰나의 순간에 뚫릴 수 있습니다.

비밀번호는 최소 12자리 이상, 대문자, 소문자, 숫자, 특수문자를 반드시 섞어서 사용해야 합니다.

예를 들어, ‘My_WordPress_is_Strong!@#$’ 같은 식으로 말이죠.

그리고 가장 중요한 팁은, 관리자 아이디를 ‘admin’이나 ‘administrator’ 같은 기본값으로 두지 않는 것입니다.

로그인 아이디 자체가 해커들에게는 힌트가 되기 때문이죠.

저는 지금 ‘W0rdfather_Seo789’ 같은 저만의 규칙을 가진 아이디와 비밀번호를 사용하고 있습니다.

이건 해킹 당하고 나서, 보안 전문가에게 들은 조언이었는데, 정말 꿀팁 중의 꿀팁입니다.

이제는 비밀번호 관리 프로그램도 많이 있으니, 그런 서비스를 이용하는 것도 좋은 방법입니다. 저는 ‘1Password’를 쓰고 있는데, 정말 편리하고 안전합니다.

—

2. 워드프레스 업데이트는 숙제입니다. 미루지 마세요.

워드프레스, 테마, 플러그인 업데이트 알림을 보시면 혹시 귀찮다고 무시하시나요?

저는 예전에 그랬습니다. “뭐, 지금 잘 돌아가는데 굳이 업데이트해야 하나? 혹시 오류 나면 어떡하지?” 하는 마음에 업데이트 알림을 계속 쌓아뒀었죠.

워드프레스 업데이트에는 대부분 보안 취약점을 해결하는 패치가 포함되어 있습니다.

업데이트를 미룬다는 건, 해커들에게 “제 사이트에는 이런 취약점이 있어요, 들어오세요!”라고 친절하게 문을 열어주는 것과 마찬가지입니다.

워드프레스는 전 세계에서 가장 많이 사용되는 CMS(콘텐츠 관리 시스템)입니다.

그만큼 해커들의 주 공격 대상이 되기 쉽고, 개발자들은 이런 취약점을 발견하면 즉시 업데이트를 배포합니다.

그러니 업데이트 알림이 뜨면 귀찮아하지 마시고, 바로 백업부터 하고 업데이트하세요.

어렵지 않습니다. 그냥 버튼 한 번만 누르면 되는 일입니다.

업데이트 전 백업은 필수입니다. 업데이트 중에 문제가 생길 경우를 대비해서 말이죠. 백업에 대한 이야기는 뒤에서 더 자세히 다루겠습니다.

—

3. 안 쓰는 플러그인은 암 덩어리입니다. 당장 지우세요.

워드프레스의 가장 큰 장점 중 하나는 바로 방대한 플러그인 생태계입니다.

온갖 기능을 가진 플러그인 덕분에 코딩을 몰라도 멋진 사이트를 만들 수 있죠.

하지만 이 플러그인이 보안의 ‘독’이 될 수도 있다는 사실, 알고 계셨나요?

저는 “언젠가 쓰겠지” 하는 마음으로 20개가 넘는 플러그인을 설치해 놓고 방치했었습니다.

플러그인 하나하나가 해커들에게는 공격할 수 있는 통로가 될 수 있습니다.

특히 개발자가 더 이상 업데이트를 하지 않는 ‘죽은’ 플러그인은 아주 위험합니다.

오래된 플러그인에는 보안 취약점이 있을 가능성이 매우 높고, 해커들은 이런 취약점을 노려 사이트에 침투합니다.

저는 해킹 당하고 나서 안 쓰는 플러그인들을 싹 다 정리했습니다.

사이트 속도도 빨라졌고, 보안 취약점도 확 줄었죠.

자신의 워드프레스 관리자 페이지에 들어가서, ‘플러그인’ 메뉴를 한번 열어보세요.

그리고 ‘활성화’ 상태가 아닌 플러그인들은 과감하게 삭제하세요.

정말입니다. 안 쓰는 플러그인만큼 쓸모없고 위험한 것도 없습니다.

—

4. 보안 플러그인은 필수 중의 필수. 워드프레스의 든든한 경호원입니다.

우리 집에 CCTV와 경보기를 설치하듯이, 워드프레스에도 든든한 보안 플러그인을 설치해야 합니다.

시중에 워드프레스 보안을 위한 플러그인이 정말 많아요.

대표적으로 Wordfence Security, Sucuri Security, iThemes Security 등이 있습니다.

저는 현재 Wordfence를 사용하고 있는데, 무료 버전만으로도 충분히 강력한 기능을 제공합니다.

로그인 시도 횟수 제한, IP 차단, 악성코드 스캔 등 다양한 기능을 통해 해커들의 접근을 막아줍니다.

이 플러그인들은 당신의 사이트에서 수상한 움직임이 포착되면 즉시 알려줍니다.

마치 밤에 도둑이 들었을 때 짖는 개처럼 말이죠.

저는 해킹당한 후에 이 플러그인을 설치하고, “도둑이 100번 넘게 들어왔었구나…”라는 걸 실시간으로 알 수 있었습니다.

처음에는 경고 메시지가 너무 많이 떠서 귀찮았는데, 지금은 오히려 안심이 됩니다.

보안 플러그인 하나 설치하는 데 10분도 안 걸립니다. 당신의 소중한 비즈니스를 위해 딱 10분만 투자하세요.

—

5. 2단계 인증(2FA)은 선택이 아닌 필수. 열쇠를 두 개 쓰는 것과 같습니다.

비밀번호가 뚫려도 당신의 사이트를 지킬 수 있는 마지막 보루가 바로 2단계 인증(2FA)입니다.

2단계 인증이란, 비밀번호를 입력한 후 추가로 휴대폰이나 이메일로 받은 코드를 입력해야 로그인할 수 있는 방식입니다.

비유하자면, 현관문 비밀번호를 누른 다음, 지문 인식이나 안면 인식까지 통과해야 문이 열리는 시스템과 같습니다.

아무리 해커가 당신의 비밀번호를 알아냈다고 해도, 당신의 휴대폰까지 해킹하는 건 훨씬 어려운 일입니다.

워드프레스에서 2단계 인증을 설정하는 건 아주 쉽습니다.

Wordfence 같은 보안 플러그인에서도 이 기능을 제공하고, 별도로 ‘Google Authenticator’ 같은 플러그인을 설치해도 됩니다.

처음엔 좀 번거롭게 느껴질 수 있지만, 당신의 사업을 통째로 잃을 위험과 비교하면 이 정도 불편함은 아무것도 아닙니다.

꼭! 지금 당장 설정하세요. 당신의 사이트가 해킹당하는 것을 막는 가장 확실한 방법 중 하나입니다.

—

6. 워드프레스 로그인 페이지는 꼭 숨기거나 바꿔두세요.

대부분의 워드프레스 사이트의 로그인 페이지 주소는 ‘yourdomain.com/wp-admin’ 또는 ‘yourdomain.com/wp-login.php’입니다.

이건 해커들 사이에서는 이미 공공연한 비밀입니다. 해커들은 이 주소로 무작위 대입 공격을 시도합니다.

저는 해킹당하고 나서야 이 주소를 바꿔야 한다는 걸 알았습니다.

내 집 주소가 만천하에 공개되어 있는데, 도둑이 안 오는 게 이상한 거잖아요?

워드프레스 로그인 페이지 주소를 바꾸는 건 어렵지 않습니다.

‘WPS Hide Login’ 같은 플러그인을 설치하면, 단 몇 분 만에 로그인 주소를 원하는 대로 바꿀 수 있습니다.

예를 들어, ‘yourdomain.com/login-my-biz-2025’ 같은 식으로 변경하면 해커들이 당신의 로그인 페이지를 찾기 훨씬 어려워집니다.

이것만으로도 무작위 대입 공격의 99%를 막을 수 있다고 합니다.

아주 간단한 작업이지만, 효과는 엄청납니다.

—

7. HTTPS는 기본 중의 기본! 당신의 사이트 신뢰도를 올려줍니다.

아직도 HTTP로 된 사이트를 운영하고 계신가요?

HTTP는 인터넷 상에서 데이터를 주고받을 때 암호화되지 않은 ‘평문’으로 전송됩니다.

이는 마치 남이 다 들을 수 있는 오픈된 장소에서 비밀 이야기를 하는 것과 같습니다.

반면, HTTPS는 데이터를 암호화해서 주고받기 때문에 훨씬 안전합니다.

요즘은 검색엔진 최적화(SEO)를 위해서도 HTTPS는 필수입니다.

구글은 HTTPS 사이트에 더 높은 점수를 줍니다. 또, 크롬 같은 브라우저에서는 HTTPS가 아닌 사이트에 ‘안전하지 않음’이라는 경고 메시지를 띄웁니다.

이 경고 메시지는 방문자들에게 불신을 심어주고, 이탈률을 높이는 원인이 됩니다.

대부분의 호스팅 업체에서 무료로 SSL 인증서를 제공하고 있습니다. Let’s Encrypt를 통해 무료로 설정할 수도 있습니다.

이건 보안을 넘어 비즈니스의 신뢰도를 위한 필수적인 조치입니다.

—

8. 정기적인 백업은 생명줄입니다. 백업은 두 번 하세요, 아니 세 번 하세요.

제가 해킹당했을 때, 가장 후회했던 게 바로 이 ‘백업’이었습니다.

백업은 당신의 사이트가 해킹당하거나, 업데이트 오류로 망가졌을 때, 마치 타임머신처럼 당신의 사이트를 정상적인 상태로 되돌려주는 유일한 방법입니다.

저는 백업을 전혀 하지 않았고, 해커가 제 사이트의 모든 파일을 지워버렸을 때 정말 하늘이 무너지는 줄 알았습니다.

7년간 쌓아온 콘텐츠가 한순간에 사라진 거죠.

다행히 저는 호스팅 업체에서 제공하는 일주일 전 백업본을 통해 겨우 복구할 수 있었지만, 만약 그것마저 없었다면 정말 끝장이었을 겁니다.

백업은 자주, 그리고 여러 곳에 해야 합니다.

호스팅 업체에서 제공하는 자동 백업 기능은 물론, ‘UpdraftPlus’ 같은 플러그인을 사용해서 클라우드 서비스(구글 드라이브, 드롭박스 등)에 정기적으로 백업하는 것을 강력히 추천합니다.

백업본은 당신의 비즈니스가 위기에 처했을 때, 당신을 구해줄 유일한 구명조끼입니다.

—

9. 웹호스팅 업체도 중요합니다. 든든한 파트너를 만드세요.

웹호스팅 업체는 당신의 사이트가 머무는 ‘집’과 같습니다.

튼튼하고 안전한 집에 살아야 마음 편히 잠을 잘 수 있겠죠.

해킹당했을 때, 제가 가장 먼저 연락한 곳도 호스팅 업체였습니다. 그들의 빠른 대처 덕분에 겨우 사이트를 복구할 수 있었죠.

무조건 저렴한 호스팅만 찾지 마세요. 보안 솔루션을 갖추고 있는지, 기술 지원은 잘 되는지 꼼꼼히 따져봐야 합니다.

저는 지금 ‘가비아’를 쓰고 있는데, 보안 이슈가 발생했을 때 신속하게 대응해줘서 큰 도움이 됐습니다.

가비아는 국내 호스팅 업체 중에서도 워드프레스에 특화된 서비스를 제공하고 있고, 보안 기능도 꽤 잘 갖추고 있습니다.

워드프레스 보안에 대해 궁금한 점이 있다면, 가비아 공식 홈페이지에서 더 많은 정보를 찾아보세요.

신뢰할 수 있는 호스팅 업체는 당신의 든든한 동반자가 될 것입니다.

—

10. 웹 방화벽(WAF)으로 최종 방어선을 구축하세요.

보안 플러그인과 호스팅 업체의 보안 솔루션 외에도 한 단계 더 높은 보안을 원한다면, 웹 방화벽(WAF)을 고려해 보세요.

웹 방화벽은 당신의 사이트에 도달하는 모든 트래픽을 검사해서 악성 트래픽을 미리 차단하는 역할을 합니다.

마치 사이트 문 앞에서 경비원이 수상한 사람들을 미리 걸러내는 것과 같죠.

워드프레스 전용 WAF 서비스인 ‘Sucuri’나 ‘Cloudflare’ 같은 서비스를 이용하면, 전문가 수준의 보안을 손쉽게 적용할 수 있습니다.

클라우드플레어는 무료 버전도 상당히 강력한 DDoS 공격 방어 기능을 제공합니다.

저는 해킹을 겪고 나서 바로 클라우드플레어를 도입했습니다. 그 이후로는 단 한 번의 해킹 시도도 성공하지 못했습니다.

물론, 유료 서비스는 비용 부담이 될 수 있지만, 당신의 비즈니스와 소중한 데이터를 지키는 데 드는 비용이라고 생각하면 전혀 아깝지 않습니다.

—

자, 지금까지 소규모 사업자를 위한 워드프레스 보안 10가지 꿀팁에 대해 이야기해 봤습니다.

어떠셨나요? 생각보다 어렵지 않죠?

처음에는 복잡하게 느껴질 수 있지만, 하나씩 차근차근 적용해 나가면 충분히 당신의 워드프레스 사이트를 안전하게 만들 수 있습니다.

잊지 마세요. 보안은 한 번 하고 마는 것이 아니라, 꾸준히 관리해야 하는 ‘숙제’입니다.

당신의 소중한 비즈니스를 지키는 일, 바로 오늘부터 시작하세요!

궁금한 점이 있다면 언제든지 댓글로 남겨주세요.

오늘도 당신의 성공적인 비즈니스를 응원합니다!

—

키워드

워드프레스 보안, 워드프레스 해킹, 소규모 사업자, 워드프레스 팁, 웹사이트 보안