금융보안원 자료로 워드프레스 보안 점검하는 방법

얼마 전 관리하던 사이트에서 사용하지 않는 플러그인 세 개를 발견했습니다. 모두 비활성 상태였지만 설치된 채로 오래 방치돼 있었습니다. 이런 경우 보안 플러그인을 하나 더 깔기 전에, 지금 사이트에 무엇이 남아 있는지부터 확인하는 편이 낫습니다.

금융보안원은 금융권의 사이버 위협과 취약점을 다루는 기관입니다. 워드프레스 사이트의 안전성을 인증해 주는 곳은 아닙니다. 다만 금융보안원이 강조하는 위험 요소의 지속적인 식별과 조치라는 관점은 일반 사이트 운영에도 쓸 만합니다. 저는 이 관점을 계정, 업데이트, 백업 순서로 적용합니다.

설치된 것과 접속 가능한 계정부터 확인합니다

관리자 화면의 ‘플러그인 → 설치한 플러그인’에서 현재 쓰는 기능을 하나씩 적어 보세요. 같은 역할을 하는 캐시 플러그인이 두 개 있거나, 예전에 시험 삼아 설치한 플러그인이 남아 있는 일이 흔합니다. 비활성 플러그인도 서버에는 파일이 남습니다. 다시 쓸 계획이 없다면 삭제하는 게 좋습니다. 삭제 전에는 그 플러그인이 만든 데이터나 설정이 필요한지 확인해야 합니다.

‘사용자 → 모든 사용자’에서는 관리자 권한을 가진 계정을 확인합니다. 퇴사자 계정이나 외주 작업이 끝난 계정이 남아 있다면 먼저 콘텐츠 소유자를 확인한 뒤 계정을 제거하세요. 글이 연결된 사용자를 삭제할 때는 기존 글을 다른 사용자에게 귀속시키는 선택지를 확인해야 합니다. 평소 글만 쓰는 사람에게 관리자 권한까지 줄 이유는 없습니다.

• 사용하지 않는 플러그인과 테마는 삭제
• 관리자 계정은 실제 운영 인원만 유지
• 호스팅 계정과 워드프레스 계정의 비밀번호는 각각 다르게 설정
• 호스팅 계정에도 2단계 인증이 있다면 활성화

금융보안원이 설명하는 공격 표면에는 관리자 화면 노출, 내부 계정 위험, 기본 비밀번호 같은 요소가 포함됩니다. 워드프레스에서 로그인 주소만 바꾸고 계정 관리를 미루면 눈에 띄는 부분만 손본 셈입니다.

업데이트는 백업을 확인한 뒤 진행합니다

업데이트를 몇 달씩 미루면 알려진 취약점이 그대로 남습니다. 반대로 운영 중인 사이트에서 플러그인을 한꺼번에 갱신하면 충돌 원인을 찾기 어렵습니다. 저는 ‘대시보드 → 업데이트’에서 대상과 변경 내용을 확인하고, 백업이 끝난 뒤 순서대로 적용합니다.

먼저 데이터베이스와 사이트 파일을 함께 백업합니다. 데이터베이스만 있으면 업로드한 이미지와 일부 설정 파일을 복구할 수 없습니다. 백업 파일은 같은 호스팅 계정 안에만 두지 말고 별도 저장 공간에도 보관하세요. 가능하다면 테스트 환경에 한 번 복원해 보는 게 가장 확실합니다. 백업 완료 알림과 실제 복구 가능 여부는 다른 문제입니다.

그다음 워드프레스 본체, 테마, 플러그인을 업데이트합니다. 변경 폭이 큰 플러그인은 하나씩 갱신하고 로그인, 글 화면, 문의 양식, 결제 기능이 있다면 결제 흐름까지 확인합니다. 워드프레스 공식 문서도 플러그인과 테마를 최신 상태로 유지하고 업데이트 전에 백업할 것을 안내합니다. 자동 업데이트는 비교적 단순한 사이트에서 편하지만, 예약·회원·결제 기능이 있는 사이트라면 백업과 변경 확인 절차를 먼저 갖추는 편이 안전합니다.

보안 플러그인은 필요한 기능만 고릅니다

로그인 보호가 필요하다고 보안 플러그인 두세 개를 겹쳐 설치할 필요는 없습니다. 우선 관리자 비밀번호를 고유하게 만들고 2단계 인증을 적용하세요. 워드프레스에서 2단계 인증이 필요하면 해당 기능만 제공하는 무료 플러그인을 고를 수 있습니다. 이미 쓰는 보안 플러그인에 같은 기능이 있다면 그것을 활용하면 됩니다. 설정 후에는 복구 코드를 사이트 밖에 보관하고, 다른 브라우저에서 실제로 로그인되는지 확인하세요. 인증 수단을 잃어버린 뒤에야 복구 방법을 찾으면 운영이 멈춥니다.

파일 편집도 점검할 만합니다. 워드프레스 관리자 화면의 테마·플러그인 편집 기능은 관리자 계정이 탈취됐을 때 악용될 수 있습니다. 워드프레스 공식 보안 문서에는 설정 파일에서 파일 편집을 비활성화하는 방법이 나옵니다. 다만 이 파일을 잘못 수정하면 사이트에 접속하지 못할 수 있으니, 현재 파일의 사본을 확보하고 호스팅 파일 관리자나 서버 접속 방법을 확인한 뒤 작업해야 합니다. 익숙하지 않다면 호스팅 업체에 설정 가능 여부를 문의하는 편이 낫습니다.

월 1회 점검할 항목을 고정해 둡니다

보안은 설치 직후 한 번 설정하고 끝나는 일이 아닙니다. 저는 한 달에 한 번 관리자 계정, 미적용 업데이트, 백업 성공 여부를 확인합니다. 여기에 ‘도구 → 사이트 건강’의 오류와 호스팅의 PHP 버전 안내도 함께 봅니다. 업데이트가 계속 실패한다면 버튼을 반복해서 누르기보다 저장 공간, 파일 권한, 예약 작업 오류부터 확인해야 합니다.

사이트가 자주 바뀌면 점검 주기도 짧아져야 합니다. 매일 주문이 들어오는 쇼핑몰과 한 달에 글 두 편 올리는 블로그에 같은 백업 간격을 적용할 수는 없습니다. 주문·회원 정보가 쌓이는 사이트는 데이터가 얼마나 자주 바뀌는지를 기준으로 백업 주기를 정하세요. 복구할 때 몇 시간치 데이터를 잃어도 되는지부터 계산하면 간격을 잡기 쉽습니다.

금융보안원의 자료를 읽고 워드프레스에 옮겨 적용할 때 제가 가장 먼저 보는 것은 새 도구가 아닙니다. 누가 들어올 수 있는지, 무엇이 오래됐는지, 문제가 생기면 어디까지 되돌릴 수 있는지입니다. 이 세 가지가 확인되는 사이트가 운영하기도 편합니다.