홈페이지 보안 업데이트 알림이 뜨면 "다음에 하자"고 넘기는 분 많으시죠. 장사하다 보면 홈페이지 뒤에서 돌아가는 프로그램까지 챙기기가 쉽지 않아요. 그런데 이번 주 보도된 사례를 보면, 패치가 나온 뒤 나흘 만에 공격이 시작됐습니다. 무슨 일이 있었고, 우리 같은 작은 홈페이지는 무엇을 확인해야 하는지 풀어 드릴게요.
무슨 일이 있었나요? 나흘 만에 시작된 침입
호주의 수학 학습 플랫폼 매스스페이스에서 학생·학부모·교직원 약 108만 명의 정보가 유출됐어요. 보안뉴스 9월 8일 기사에 따르면, 이 회사가 데이터 분석에 쓰던 오픈소스 도구 "메타베이스"의 취약점이 통로였어요. 비밀번호 재설정 기능을 통해 로그인 없이 데이터베이스를 건드릴 수 있는 문제였습니다.
시간 순서를 보면 이 사건의 교훈이 그대로 보여요.
| 날짜(2026년) | 무슨 일이 있었나 |
|---|---|
| 8월 6일 | 취약점 공개, 수정된 버전(패치) 배포 |
| 8월 10일 | 공격자의 무단 접근 시도 시작(패치 공개 나흘 뒤) |
| 8월 27일 | 데이터 유출 발생 |
| 8월 29일 | 회사가 패치 적용 |
| 9월 3일 | 접속 기록으로 유출 확인 |
| 9월 4일 | 학교에 통지 |
빠져나간 정보는 이용자 아이디, 이름, 이메일, 국가, 계정 종류, 최근 활동 날짜, 로그인 기록이었어요. 비밀번호와 성적 자료는 유출되지 않았다고 해요. 그래도 이름과 이메일만 있어도 피싱 메일을 만들기엔 충분하죠.
한 줄 정리: 패치가 나온 날부터 공격자도 같은 정보를 보고 움직입니다.
왜 늦었나요? 기술이 아니라 "절차"의 문제
회사는 원인을 이렇게 밝혔어요. "기존 취약점 통지 절차가 이 권고를 찾아내 조치 대상으로 올리지 못했다." 즉 해커가 대단한 기술을 쓴 게 아니라, 패치 소식이 나왔는데 우리 회사 안에서 아무도 그걸 처리 목록에 올리지 않았던 거예요.
참고로 한국인터넷진흥원(KISA)도 9월 3일 보호나라 보안공지에 메타베이스 제품 보안 업데이트 권고를 올렸어요. 정보는 이미 공개돼 있었다는 뜻이에요. 문제는 그 정보가 "우리 일"로 연결되는 고리가 없었다는 점이었죠.
이건 큰 회사만의 이야기가 아니에요. 소상공인 홈페이지도 게시판 프로그램, 결제 연동 모듈, 서버 운영체제 같은 여러 소프트웨어 위에서 돌아가요. 그중 하나라도 "업데이트 담당자"가 없으면, 똑같은 나흘이 우리에게도 생깁니다.
오늘 확인할 것 3가지
어렵게 생각하지 않아도 돼요. 아래 세 가지를 순서대로 해 보세요.
- 우리 홈페이지가 무엇으로 만들어졌는지 적어 두세요. 제작 업체에 "홈페이지에 어떤 프로그램(CMS, 플러그인, 서버)이 쓰였나요?"라고 물어 목록을 받으세요. 이 목록이 없으면 어떤 패치 소식이 우리 일인지 알 수가 없어요.
- 업데이트 담당자와 주기를 정하세요. 사장님이 직접 하든 업체에 맡기든, "누가, 얼마마다" 확인하는지 한 줄로 정해 두세요. 이번 사례처럼 패치 공개 뒤 며칠 안에 공격이 시작되니, 매달 한 번보다는 "권고가 나오면 그 주 안에"가 안전해요.
- 제작 업체에 "보안 업데이트는 누가 하나요?"라고 물어보세요. 제작비에 포함된 건지, 별도 유지보수인지, 요청해야 하는지 답을 받아 두세요. 잇다웹은 유지보수 안내 페이지에 서버·보안 항목을 건별로 안내하고 있어요. 이용 중인 업체에도 같은 질문을 던져 보세요.
한 줄 정리: 목록, 담당자, 질문 하나. 이 셋만 있어도 "몰라서 놓치는" 일은 막을 수 있어요.
자주 묻는 질문
홈페이지 보안 업데이트는 얼마나 자주 해야 하나요?
정해진 주기보다 "권고가 나오면 그 주 안에"가 기준이에요. 이번 사례에서 공격은 패치 공개 나흘 뒤에 시작됐어요. 정기 점검은 한 달에 한 번 하되, 보안공지가 뜨면 기다리지 말고 바로 처리하는 게 안전합니다.
보안 패치 공지는 어디서 확인하나요?
한국에서는 KISA 보호나라의 보안공지 게시판이 기본이에요. 홈페이지에 쓰인 프로그램 이름으로 검색하면 우리 일인지 바로 알 수 있어요. 목록(1번)을 먼저 만들어 두면 공지를 훨씬 빨리 걸러낼 수 있습니다.
홈페이지 업데이트를 제작 업체에 맡길 수 있나요?
대부분 가능하지만, 계약 내용에 따라 무료인지 건별 비용인지 달라요. "보안 업데이트 포함인가요?"를 먼저 물어 답을 문서로 받아 두세요. 잇다웹처럼 유지보수 항목을 페이지에 공개한 업체라면 그 페이지를 기준으로 확인하면 됩니다.
우리 홈페이지가 어떤 프로그램 위에서 돌아가는지, 업데이트는 누가 챙기는지 아직 모르겠다면 무료 견적 상담에서 현재 상황을 말씀해 주세요.
사진: Unsplash