WordPress 해킹 시 첫 24시간 대응 방법

무엇인가

WordPress 침해는 일반적으로 누군가 파일, 데이터베이스 또는 사용자 계정을 변경할 수 있는 능력을 얻었다는 의미입니다. 흔한 징후로는 알 수 없는 관리자 사용자, 낯선 플러그인이나 파일, 삽입된 JavaScript, 검색 엔진에 색인된 스팸 페이지, 일부 방문자에게만 발생하는 리디렉션, 발송되는 스팸 이메일, 브라우저나 검색 엔진의 경고 등이 있습니다. 흔한 침입 경로는 오래되었거나 방치된 플러그인과 테마, 재사용되거나 취약한 비밀번호, 유출된 호스팅 또는 FTP 자격 증명, 안전하지 않은 파일 권한입니다. 첫 24시간은 무슨 일이 일어나고 있는지 확인하고, 추가 피해를 제한하고, 기록을 남기고, 제대로 된 정리를 준비하는 시간입니다. 파일 단위의 세부 정리는 그다음 별도 단계로 진행됩니다.

누구를 위한 것인가?

이 체크리스트는 다음을 위한 것입니다.

• 전담 보안 팀 없이 WordPress 사이트를 관리하는 사업주와 마케팅 팀
• 방금 침해 사실이 보고된 고객 사이트를 지원하는 에이전시
• 호스팅 정지 통지나 브라우저 경고를 받은 사내 IT 담당자
• 정리 작업 시작 전에 업체에 상황을 명확히 전달해야 하는 모든 분

무엇을 명확히 하는 데 도움이 되는지

체크리스트를 따르면 다음이 명확해집니다.

• 사이트가 실제로 침해되었는지, 아니면 설정이나 플러그인 오류인지
• 무엇이 언제 변경되었고 어떤 계정이 관련되었을 수 있는지
• 호스팅, 도메인, DNS, 백업을 누가 관리하고 누가 변경을 승인할 수 있는지
• 고객 데이터나 결제 흐름이 영향을 받아 별도 대응이 필요할 수 있는지

포함된 내용

• 0~2시간: 무엇을, 언제, 누가 발견했는지 기록하고 경고, 리디렉션, 낯선 페이지의 스크린샷을 남김
• 0~2시간: 호스팅, 도메인 등록 기관, DNS, CDN, WordPress 관리자를 누가 관리하는지 파악
• 1~4시간: 현재 상태 그대로 파일과 데이터베이스의 전체 사본을 만들어 별도로 보관하며, 이전 백업을 덮어쓰지 않음
• 1~4시간: 방문자가 피해를 입고 있다면 사이트를 유지 관리 모드로 전환하거나 호스팅 업체에 접근 제한을 요청하는 것을 검토
• 2~6시간: 깨끗한 기기에서 호스팅, FTP/SFTP, 데이터베이스, WordPress 관리자 비밀번호를 변경하고 가능한 곳에서 MFA를 활성화
• 2~6시간: WordPress 사용자를 검토하고 알 수 없는 계정을 삭제하거나 비활성화하며, 삭제한 내용을 기록
• 4~12시간: 확보 가능한 서버 접근 로그와 호스팅 보안 통지를 수집
• 6~24시간: 메모, 로그, 백업 사본을 갖춰 자격을 갖춘 업체에 상황을 설명하고 정리 범위를 합의

포함되지 않은 것

• 악성코드 제거 명령어나 백업 없이 코어 파일을 수정하는 방법
• 데이터 침해 통지가 필요한지에 대한 법률 자문
• 비밀번호 변경만으로 침해가 해결된다는 주장
• 공격자에게 연락하거나 보복하라는 조언

선택해야 할 때

침해가 의심되면 파일 삭제나 백업 복원을 시작하기 전에 즉시 이 체크리스트를 사용하십시오. 사이트가 결제를 처리하거나 고객 개인정보를 저장한다면, 개인정보 보호와 법적 의무를 담당하는 사람을 초기에 참여시키십시오. 통지 의무는 사실관계와 관할권에 따라 달라지며, 이 글은 법률 자문이 아닙니다. 호스팅 업체가 계정을 정지했다면 접근을 복구하기 위해 무엇이 필요한지, 활용할 수 있는 로그를 보유하고 있는지 문의하십시오.

우리의 접근 방식

눈에 보이는 정리의 속도보다 봉쇄와 기록 유지를 우선하십시오. 다시 정상처럼 보이는 사이트에도 공격자가 며칠 안에 돌아올 수 있게 하는 백도어가 남아 있을 수 있습니다. 침입 경로를 막지 않고 오래된 백업을 복원하면 재감염으로 이어지는 경우가 많습니다. 초기 단계가 끝나면 정리 작업은 파일, 데이터베이스, 사용자, 예약된 작업, 서버 설정을 다루어야 하며, 그다음 침입 경로 차단과 보안 강화가 이어져야 합니다. 당사의 Incident Recovery 서비스는 합의된 웹사이트 또는 WordPress 문제에 대한 초기 검토와 분류, 직접적인 봉쇄, 악성 코드·백도어·무단 사용자 정리, 안전한 복원, 확인된 침입 경로 차단, 그리고 보안 강화 권고를 담은 서면 보고서를 제공합니다. 이는 확인된 웹사이트를 대상으로 범위가 정해진 작업이며, 법적 판단은 귀사의 법률 자문가가 담당합니다. 누구의 도움을 받든 무엇을 발견하고 무엇을 변경했는지 설명해 달라고 요청하고, 그 보고서를 메모와 함께 보관하십시오.

Incident Recovery

자주 묻는 질문

관련 기사