워드프레스 해킹 막는 기본 보안 설정: 로그인·업데이트·백업 세 곳만 오늘 안에 닫는 순서
이 글의 링크는 추후 제휴 링크로 바뀔 수 있으며, 그 경우 구매 시 수수료를 받을 수 있습니다.
이 글에서 다루는 것
워드프레스가 공격당하는 경로 중 손이 제일 적게 가면서 효과가 큰 세 곳, 즉 로그인·업데이트·백업을 오늘 안에 닫는 순서로 정리합니다.
워드프레스로 블로그나 홈페이지를 막 올려 놓고 보안은 손대지 않은 분, 어디부터 건드려야 할지 몰라 플러그인만 늘려 놓은 분을 위한 글입니다.
읽고 나면 오늘 30분 안에 끝낼 항목과, 서버 쪽이라 내 힘으로 안 되는 항목을 구분할 수 있습니다.
워드프레스는 '뚫리는' 것보다 '열려 있는' 쪽이 많습니다
워드프레스를 노리는 공격은 대부분 사람이 한 사이트를 골라 파고드는 방식이 아닙니다.
자동화된 스크립트가 주소 목록을 훑으면서 같은 문을 차례로 두드립니다.
그 문이 세 개입니다.
비밀번호를 계속 넣어 보는 로그인 화면, 오래된 버전에 이미 공개된 취약점이 남아 있는 플러그인과 테마, 그리고 사고가 난 뒤 돌아갈 곳이 없는 상태입니다.
앞의 두 개는 막는 일이고 마지막 하나는 복구하는 일입니다.
셋 중 하나만 빼놓아도 나머지가 의미를 잃기 때문에 순서대로 다 채우는 편이 낫습니다.
1. 로그인 화면부터 좁힙니다
무차별 대입은 아이디를 맞히는 일부터 시작합니다.
아이디가 admin 이면 공격자는 절반을 이미 가진 셈입니다.
관리자 계정 이름이 admin 이거나 사이트 주소와 같다면 새 관리자 계정을 하나 만들고, 기존 계정의 글 소유권을 새 계정으로 넘긴 뒤 기존 계정을 지우는 방식으로 바꿉니다.
워드프레스는 아이디 자체를 수정하는 기능이 없기 때문입니다.
그다음이 시도 횟수 제한입니다.
공식 플러그인 저장소에서 '로그인 시도 제한' 계열 플러그인을 찾으면 설치형 사이트에서 바로 쓸 수 있습니다.
① 플러그인 이름에 로그인 보안·2단계 인증·무차별 대입 차단이 함께 적혀 있는지 봅니다.
② 오른쪽 내려받기 버튼 대신, 실제로는 내 사이트 관리자 화면의 플러그인 > 새로 추가에서 같은 이름을 검색해 설치하는 쪽이 간편합니다.
설치한 뒤 기본값에서 손볼 값은 두 개입니다.
허용 시도 횟수는 4회 안팎, 잠금 시간은 20분 이상으로 둡니다.
숫자를 더 조이면 본인이 오타로 잠기는 일이 생기니 비밀번호 관리 도구를 같이 쓰는 경우에만 3회로 내립니다.
2단계 인증을 지원하는 플러그인이라면 관리자 계정에만이라도 켜 둡니다.
비밀번호가 새어 나가도 한 겹이 남습니다.
마지막으로 관리자 비밀번호를 다른 서비스와 공유하고 있다면 그것부터 바꿉니다.
로그인 화면을 아무리 좁혀도, 다른 사이트에서 유출된 같은 비밀번호는 한 번에 통과합니다.
2. 업데이트는 '백업 먼저'가 순서입니다
공격에 쓰이는 취약점은 대부분 이미 공개돼 패치가 나온 것들입니다.
즉 업데이트를 미루는 기간이 그대로 노출 기간입니다.
워드프레스 공식 문서는 업데이트 절차의 첫 단계를 '백업'으로 둡니다.
① 공식 문서의 첫 항목이 백업입니다.
업데이트가 사이트를 깨뜨리는 일이 드물게 있기 때문에, 되돌릴 수 있는 상태를 만들어 놓고 누르라는 뜻입니다.
워드프레스 본체는 보안 패치에 한해 자동 업데이트가 기본으로 켜져 있습니다.
문제는 플러그인과 테마 쪽입니다.
관리자 화면 상단에 숫자가 떠 있는데 몇 주째 그대로인 사이트가 많습니다.
여기서 같이 하면 좋은 것이 정리입니다.
쓰지 않는 플러그인은 비활성화로 두지 말고 삭제합니다.
비활성화된 플러그인의 파일도 서버에 그대로 남아 있어 취약점이 있으면 똑같이 노출됩니다.
테마도 같습니다.
지금 쓰는 테마와 기본 테마 하나만 남기고 나머지는 지웁니다.
업데이트 주기는 '보이면 바로'가 가장 안전하지만 현실적으로는 주 1회 날을 정해 두는 쪽이 지켜집니다.
플러그인 업데이트 알림 메일을 켜 두면 잊을 일이 줄어듭니다.
3. 백업은 '어디에 두느냐'와 '복원해 봤느냐'입니다
백업 플러그인은 공식 저장소에 여럿 있고, 무료 버전만으로도 전체 파일과 데이터베이스를 정기적으로 뜰 수 있습니다.
① 백업과 복원이 한 플러그인 안에서 되는지 확인합니다.
② 설치는 마찬가지로 내 사이트의 플러그인 > 새로 추가 화면에서 같은 이름을 검색해 진행합니다.
설정에서 중요한 것은 보관 위치입니다.
백업 파일을 같은 서버 안에 두면, 서버가 통째로 당했을 때 백업도 같이 사라집니다.
구글 드라이브·드롭박스 같은 외부 저장소로 보내도록 지정해야 백업다운 백업이 됩니다.
주기는 글을 자주 올리면 매일, 가끔 올리면 주 1회로 잡고 보관 개수는 최소 4벌 이상 남깁니다.
해킹은 당한 날 바로 알아채지 못하는 경우가 많아서, 사흘 전 백업까지 이미 감염돼 있는 상황이 생깁니다.
그리고 한 번은 복원을 해 봐야 합니다.
백업 파일이 생기는 것과 그 파일로 사이트가 되살아나는 것은 다른 이야기입니다.
테스트 주소나 로컬 환경에 한 번 복원해 보고 나서야 그 백업을 믿을 수 있습니다.
오늘 할 일 세 줄 요약표
| 구간 | 안 했을 때 생기는 일 | 오늘 할 일 | 걸리는 시간 |
|---|---|---|---|
| 로그인 | 자동 스크립트가 비밀번호를 무제한으로 시도 | admin 계정 교체, 시도 제한 4회·잠금 20분, 관리자 2단계 인증 | 약 15분 |
| 업데이트 | 이미 공개된 취약점이 그대로 남음 | 플러그인·테마 최신화, 미사용 플러그인·테마 삭제, 주 1회 점검일 지정 | 약 10분 |
| 백업 | 복구할 지점이 없어 사이트를 다시 만들어야 함 | 외부 저장소 연결, 주기·보관 4벌 이상 설정, 복원 1회 테스트 | 약 20분 |
플러그인으로는 닿지 않는 구간이 남습니다
위 세 가지는 워드프레스 안쪽 이야기입니다.
서버 포트를 두드리는 트래픽, SSH·FTP 접속 시도, 대량 요청으로 서버를 눕히는 공격은 사이트 안의 플러그인이 보기도 전에 지나갑니다.
이 구간은 호스팅이 어디까지 맡아 주느냐로 갈립니다.
관리형 호스팅을 쓰면 이 층을 업체가 맡습니다.
예를 들어 클라우드웨이즈는 보안 안내 페이지에 서버 레벨 방화벽(Imunify360), Fail2Ban 기반 무차별 대입 차단, L3·L4 디도스 완화, IP·국가 단위 차단, SSH·SFTP 접속 IP 화이트리스트, 원클릭 무료 SSL, 오프사이트 자동 백업을 적어 두고 있습니다.
① 서버 레벨 방화벽이 Flexible 서버에 적용된다고 적혀 있습니다.
같은 화면에 SSL·IP 화이트리스트·Fail2Ban 항목이 함께 나열돼 있습니다.
악성코드 정리(Malware Protection)는 기본 포함이 아니라 별도 애드온으로 표기돼 있어, 필요하면 추가 비용을 따로 계산해야 합니다.
클라우드웨이즈 공식 사이트에서 보안 항목을 직접 확인해 보기
요금은 2026년 10월 8일 기준 공식 요금 페이지에서 디지털오션 공급사의 최저 요금제 Micro 가 월 11달러(메모리 2GB·vCPU 1개·저장 50GB·전송 2TB)로 표기돼 있고, 카드 등록 없이 3일 무료 체험이 가능합니다.
시작은 최저 요금제로 충분합니다.
올려야 하는 시점은 방문자가 늘어 관리 화면에 메모리 경고가 반복해서 뜰 때이지, 가입하는 날이 아닙니다.
안 맞는 분도 분명히 있습니다
결제가 달러라 환율에 따라 원화 청구액이 달라집니다.
한국어 고객지원이 없고 관리 화면과 문서가 영어입니다.
메일 호스팅이 포함되지 않아 도메인 메일은 따로 붙여야 합니다.
무엇보다 방문자가 하루 수백 명대이고 월 1만 원 이하 공유 호스팅으로 느려지지 않는 상태라면, 지금 옮길 이유가 없습니다.
그 경우에는 위의 로그인·업데이트·백업 세 가지만 제대로 해 두는 편이 비용 대비 효과가 큽니다.
자주 묻는 질문
보안 플러그인은 몇 개까지 깔아도 되나요?
기능이 겹치는 보안 플러그인을 여러 개 켜면 로그인 차단 규칙이 서로 충돌해 본인이 못 들어가는 일이 생깁니다.
로그인 보호 계열 하나, 백업 하나로 시작하고 부족한 기능이 확인될 때 추가하는 쪽이 안전합니다.
wp-admin 주소를 바꾸면 안전해지나요?
자동 스크립트의 1차 스캔을 피하는 효과는 있지만, 주소를 바꿨다는 이유로 비밀번호가 강해지지는 않습니다.
보조 수단으로 보고 시도 제한과 2단계 인증을 먼저 켭니다.
해킹을 당한 것 같은데 뭐부터 확인하나요?
관리자 계정 목록에 모르는 계정이 있는지, 최근 수정된 파일이 있는지, 사이트가 검색 결과에서 다른 주소로 넘기고 있는지를 봅니다.
확인되면 비밀번호를 전부 바꾸고 감염 이전 날짜의 백업으로 복원한 뒤 업데이트를 돌리는 순서가 기본입니다.
무료 SSL만 걸어도 보안이 되나요?
SSL 은 오가는 내용을 암호화할 뿐, 로그인 시도나 취약한 플러그인과는 다른 층의 문제입니다.
주소창에 자물쇠가 있어도 이 글의 세 가지는 따로 해야 합니다.
마무리
로그인은 아이디 교체와 시도 제한·2단계 인증으로 좁히고, 업데이트는 백업을 먼저 뜬 뒤 플러그인·테마를 최신으로 올리며 안 쓰는 것은 삭제합니다.
백업은 외부 저장소에 4벌 이상 남기고, 한 번은 실제로 복원해 봐야 그 백업을 믿을 수 있습니다.
서버 층의 방화벽·디도스·접속 제한은 플러그인 바깥 영역이라 호스팅이 어디까지 맡는지로 갈리며, 공유 호스팅으로 충분한 규모라면 옮기지 않아도 됩니다.
지금 쓰고 계신 워드프레스 사이트에서 이 셋 중 몇 개가 되어 있나요?
막히는 항목을 댓글로 남겨 주시면 해당 단계만 따로 짚어 드리겠습니다.
다음 글에서는 「블로그 도메인 바꿀 때 검색 순위 지키는 법」에 대해 알아보겠습니다.