AI 사이버 공격 시대, 소상공인 홈페이지 점검 7가지

1.무슨 일이 있었나

2026년 8월 27일, 오픈AI · 앤스로픽 · 구글 · 마이크로소프트 · 메타 같은 개발사와 크라우드스트라이크 · 옥타 · 포티넷 등 보안 기업, 금융사와 인터넷 인프라 회사를 포함해 100곳이 넘는 기업이 공동 서한에 이름을 올렸습니다. 요지는 민간과 정부가 지역 · 국가 · 국제 단위에서 함께 방어 체계를 세우자는 것입니다.

서한의 핵심 문장은 이렇습니다.

“In the coming months, AI-enabled cyber attacks will become far more widespread and sophisticated as models around the world become increasingly capable.”
(앞으로 몇 달 사이, 전 세계 모델의 성능이 올라가면서 AI를 활용한 사이버 공격은 훨씬 광범위하고 정교해질 것이다.)

경쟁 관계인 회사들이 같은 문서에 서명했다는 점이 이 소식의 무게입니다. 다만 이 서한은 대기업과 정부를 향한 것이고, 직원 없이 사이트 하나를 운영하는 쪽에는 “그래서 나는 뭘 하지”가 남습니다. 그 답을 아래에 적었습니다.

2.왜 작은 사이트가 표적이 되나

노려서 공격당하는 게 아니라, 훑다가 걸립니다. 자동화 도구는 인터넷 전체를 순회하며 알려진 취약점과 흔한 비밀번호를 시험합니다. 사람이 개입하지 않으니 매출 규모를 가리지 않습니다. 언어 모델이 붙으면서 달라진 건 공격 방식보다 속도와 문장 품질입니다. 어색한 번역투로 알아채던 피싱 메일이 이제 자연스러운 한국어로 옵니다.

국내 수치도 방향이 같습니다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 2026년 8월 3일 공개한 집계에 따르면 2026년 상반기 침해사고 신고는 1,236건으로 전년 동기 1,034건보다 19.5% 늘었습니다. 이 가운데 서버 해킹이 487건, 디도스가 373건(전년 대비 56.7% 증가), 랜섬웨어가 145건(76.8% 증가)이었습니다.

더 눈여겨볼 숫자는 피해자 구성입니다. KISA가 2025년 1월 발표한 직전 연도 자료에서 랜섬웨어 피해 신고의 94%가 중소기업이었습니다. 보안 담당자가 없는 조직이 통계의 대부분을 채운다는 뜻입니다.

3.관리자 계정부터 (10분)

침해 경로에서 가장 흔한 건 정교한 해킹이 아니라 추측 가능한 로그인입니다. 세 가지만 보세요.

• 아이디가 admin인가. 그렇다면 새 관리자 계정을 만들고 기존 계정을 삭제하세요. 자동 대입 공격은 아이디를 이미 안다고 가정하고 비밀번호만 돌립니다.
• 비밀번호를 다른 서비스와 함께 쓰는가. 유출된 목록을 그대로 대입하는 방식이 여전히 가장 잘 통합니다.
• 2단계 인증이 켜져 있는가. 워드프레스 · 카페24 · 아임웹 · 구글 워크스페이스 모두 무료로 제공합니다.

퇴사자나 외주 작업자의 계정이 남아 있는지도 같이 확인하세요. 오래된 협력사 계정이 통로가 되는 사례가 실제로 보고됩니다.

4.업데이트는 자동으로 (5분)

공개된 취약점은 공개된 순간부터 스캔 대상이 됩니다. 대응 시간을 사람에게 맡기지 말고 자동 적용으로 돌려두는 편이 안전합니다. 워드프레스라면 코어 마이너 업데이트는 기본값이 자동이지만, 플러그인과 테마는 각 항목에서 따로 켜야 합니다.

쓰지 않는 플러그인은 비활성화가 아니라 삭제하세요. 비활성 상태여도 파일이 서버에 남아 있으면 취약점은 그대로입니다. 관리 화면 편집기를 막는 설정도 함께 넣어두면 좋습니다.

// wp-config.php — 관리 화면에서 테마·플러그인 파일 편집 차단
define( 'DISALLOW_FILE_EDIT', true );

계정이 탈취돼도 서버 파일을 브라우저에서 바로 고쳐 심는 경로 하나는 닫힙니다.

5.백업은 ‘복원까지’ 해봐야 백업 (10분)

백업을 켜뒀다는 것과 되살릴 수 있다는 것은 다릅니다. 실제로 문제가 터졌을 때 복원해 본 적 없는 백업이 깨져 있거나, 같은 서버에 있어서 함께 암호화된 경우가 흔합니다. 확인할 것은 세 가지입니다.

• 최근 파일이 실제로 생성돼 있는가 (날짜와 용량을 눈으로 확인)
• 사본 하나가 웹서버 바깥에 있는가 (외부 스토리지, 다른 계정)
• 테스트 환경에 한 번 되살려 봤는가

복원 리허설은 1년에 한 번이면 충분합니다. 그 한 번이 사고 당일의 하루를 벌어줍니다.

6.노출되면 안 되는 파일 확인 (5분)

개발 중에 올려두고 잊은 파일이 그대로 공개돼 있는 경우가 많습니다. 브라우저 주소창에 직접 넣어보거나 아래처럼 확인하세요. 200이 뜨면 조치가 필요합니다.

# 응답 코드만 확인 (404 정상 / 200 이면 점검)
for p in .env .git/config wp-config.php.bak backup.zip phpinfo.php; do
  printf '%-22s ' "$p"
  curl -s -o /dev/null -w '%{http_code}\n' "https://example.com/$p"
done

example.com을 본인 주소로 바꿔서 돌리면 됩니다. .env나 .git이 열려 있으면 데이터베이스 접속 정보와 소스 전체가 노출된 상태라 최우선으로 막아야 합니다. 압축 백업 파일을 웹 폴더에 두는 습관도 이 기회에 정리하세요.

7.문의 폼과 도메인 만료 (10분)

생성 모델이 퍼진 뒤 눈에 띄게 늘어난 건 사람처럼 읽히는 폼 스팸입니다. 예전 필터는 반복 문구와 링크 개수로 걸렀지만, 지금은 업종에 맞는 문의처럼 자연스럽게 들어옵니다. 대응은 두 가지입니다. 캡차를 걸어 자동 제출 자체를 줄이고, 폼 응답을 이메일에만 의존하지 말고 별도로 저장해 두는 것입니다. 스팸 판정으로 진짜 문의가 묻히는 일이 실제 손실입니다.

그리고 매년 몇 건씩 반복되는 사고가 도메인 만료입니다. 결제 카드가 바뀌었는데 갱신 설정을 놓쳐 사이트가 통째로 사라지고, 만료된 주소를 제3자가 선점하는 경우까지 생깁니다. 도메인과 호스팅의 자동 갱신 여부와 등록 이메일을 오늘 같이 확인하세요. 쓰지 않는 메일 주소로 등록돼 있으면 경고 메일이 어디에도 닿지 않습니다.

8.그래서 오늘 할 일

위 항목을 순서대로 옮기면 이렇게 됩니다. 관리자 아이디 변경과 2단계 인증 → 플러그인 자동 업데이트와 미사용 항목 삭제 → 백업 파일 실재 확인 → 노출 파일 점검 → 폼 스팸 대응 → 도메인 자동 갱신 → 최근 로그인 기록 확인. 대부분 30분 안에 끝나고, 비용은 들지 않습니다.

공동 서한이 말한 “몇 달”은 대응 계획을 세우기에 짧은 기간입니다. 하지만 위 목록은 계획이 아니라 오늘 끝낼 수 있는 작업입니다. 자동화된 공격은 늘 더 쉬운 대상을 먼저 고릅니다. 기본을 채워 넣는 것만으로 순서에서 밀려납니다.

사이트를 새로 만들 계획이라면 이 항목들이 처음부터 들어가 있는 편이 훨씬 쌉니다. SLOHERO가 만드는 홈페이지는 계정 · 백업 · 갱신 구조를 기본값으로 잡아둡니다. 실제 작업 사례와 다른 글도 참고하세요.

§이 글의 근거

공동 서한 관련 내용은 2026년 8월 27일 테크크런치 보도를 따랐습니다(원문 보기). 서한 전문 자체는 공개 주소를 확인하지 못해 원문 대조에 실패했고, 인용문과 서명 기업 목록은 해당 보도에 실린 범위까지만 옮겼습니다. 서명 기업 수는 “100곳 이상”으로만 보도돼 정확한 숫자는 적지 않았습니다.

2026년 상반기 침해사고 수치(1,236건 · 서버 해킹 487건 · 디도스 373건 · 랜섬웨어 145건)는 과학기술정보통신부와 KISA가 2026년 8월 3일 공개한 집계로, 기관 원문 페이지를 열지 못해 데일리시큐 · NK경제 · 지디넷코리아 보도를 교차 대조해 확인했습니다. 반면 “랜섬웨어 피해 신고의 94%가 중소기업”은 KISA가 2025년 1월 24일 배포한 자료에서 직접 확인한 2024년 기준 수치입니다.

본문의 점검 항목은 위 자료와 SLOHERO의 유지보수 경험을 함께 반영한 것으로, 특정 제품이나 서비스의 후원을 받지 않았습니다.