홈페이지 문의 양식에 "사진 첨부" 버튼을 달아 두신 사장님이 많습니다. 손님이 도면이나 시공 사진을 올려 주니 상담이 편하기 때문입니다. 그런데 이 첨부 버튼이 해커에게는 가게 뒷문이 될 수 있습니다. 홈페이지 파일 첨부 보안은 "누가 무엇을 올렸는지 확인하고, 올라온 파일이 움직이지 못하게 막는 것"이 핵심입니다. 이 글에서는 최근 사례와 함께 사장님이 하기 쉬운 실수 3가지를 정리했습니다.
10월에 무슨 일이 있었나요? 워드프레스 플러그인 사례
워드프레스용 플러그인(기능을 덧붙이는 추가 프로그램) 하나에서 파일 첨부 취약점이 실제 공격에 쓰였습니다. 이름은 Bricksforge로, 홈페이지 화면을 꾸미고 문의 양식을 만드는 데 쓰는 도구입니다.
보안 업체 Patchstack은 10월 7일부터 실제 공격을 확인했다고 공식 글에서 밝혔습니다. 해외 보안 매체 The Hacker News도 10월 12일에 이 내용을 전했습니다.
| 한눈에 보기 | 내용 |
|---|---|
| 대상 | 워드프레스 Bricksforge 플러그인 3.1.8.9 이하 |
| 위험도 | CVSS 10.0 (10점 만점의 최고 등급) |
| 방식 | 로그인 없이 문의 양식으로 악성 파일 올리기 |
| 공격 확인 | 2026년 10월 7일부터 실제 공격 |
| 해결 | 최신 버전으로 업데이트 |
CVSS는 보안 약점의 위험도를 0~10점으로 매기는 국제 기준입니다. 10점은 가장 위험한 단계라는 뜻입니다. 보도에 따르면 공격은 사람이 하나씩 하는 게 아니라 자동 프로그램으로 여러 곳에서 들어왔습니다.
한 줄 정리: 작은 홈페이지도 자동 공격의 대상이 되니, "우리는 작아서 괜찮다"는 생각은 접어 두세요.
파일 첨부 기능은 왜 해킹 통로가 되나요?
손님이 올린 파일이 서버(홈페이지가 저장된 컴퓨터) 안으로 직접 들어오기 때문입니다. 글자만 받는 문의 양식보다 들어오는 문이 하나 더 많은 셈입니다.
가게 우편함에 비유해 볼게요. 편지만 받는 우편함은 열어 보고 버리면 끝입니다. 그런데 택배 상자를 받아 창고 안까지 들여놓는다면 이야기가 다릅니다. 상자 안에 무엇이 들었는지 확인하지 않으면 창고 전체가 위험해집니다.
이번 사례에서는 그림 파일처럼 보이지만 안에 실행 명령이 숨은 파일이 쓰였습니다. 이런 파일이 서버에서 실행되면 공격자가 홈페이지를 마음대로 바꿀 수 있습니다.
| 알아두면 좋은 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 취약점 | 프로그램에 생긴 보안 구멍 | 잠금장치가 헐거운 창문 |
| 원격 코드 실행 | 밖에서 서버에 명령을 내리는 것 | 남이 우리 가게 금고를 원격으로 여는 것 |
| 업로드 폴더 | 올라온 파일이 저장되는 곳 | 택배를 쌓아 두는 창고 |
| 패치 | 보안 구멍을 막는 수정본 | 헐거운 창문에 새 자물쇠 달기 |
한 줄 정리: 첨부 기능은 편지함이 아니라 창고 문이라고 생각하세요.
실수 1: 파일 이름과 종류만 보고 통과시킨다
파일 이름 끝이 .jpg라고 해서 진짜 사진이라는 보장은 없습니다. 겉 포장만 사진이고 속은 프로그램일 수 있습니다.
이번 사례에서도 프로그램은 파일 종류를 확인하긴 했습니다. 하지만 파일을 어디에 어떤 이름으로 둘지는 제대로 막지 못했습니다. 그래서 확인 한 번으로는 부족하다는 교훈이 남았습니다.
예를 들어, 직원 5명인 인테리어 업체가 문의 양식으로 평면도 사진을 받는다고 해 볼게요. 이때 받는 파일을 사진과 PDF 문서 정도로 좁혀 보세요. 크기도 10메가바이트 안으로 제한하면 위험이 크게 줄어듭니다.
- □ 받을 파일 종류를 꼭 필요한 것만 남겼나요?
- □ 파일 크기 상한을 정해 두었나요?
- □ 올라온 파일 이름을 서버가 새로 바꿔 저장하나요?
한 줄 정리: 파일은 이름이 아니라 내용과 저장 방식까지 확인해야 안전합니다.
실수 2: 올라온 파일을 실행될 수 있는 곳에 그대로 둔다
손님이 올린 파일은 "보관만 되고 실행은 안 되는" 곳에 두어야 합니다. 같은 파일이라도 어디에 두느냐에 따라 위험이 완전히 달라집니다.
창고에 비유하면, 택배 상자를 사무실 책상 위가 아니라 잠긴 창고에 두는 것과 같습니다. 상자 안에 이상한 게 있어도 창고 밖으로 나오지 못하면 피해가 없습니다.
| 저장 방식 | 위험도 | 사장님이 확인할 질문 |
|---|---|---|
| 홈페이지 공개 폴더에 그대로 저장 | 높음 | 첨부 파일 주소로 누구나 열 수 있나요? |
| 실행 막힌 별도 폴더에 저장 | 낮음 | 업로드 폴더에서 프로그램 실행을 막았나요? |
| 별도 저장소에 보관, 관리자만 열람 | 가장 낮음 | 관리자 로그인 후에만 볼 수 있나요? |
한 줄 정리: 받은 파일은 잠긴 창고에, 열쇠는 관리자만 갖게 하세요.
실수 3: 안 쓰는 첨부 기능과 플러그인을 그대로 둔다
쓰지 않는 기능도 켜져 있으면 공격 대상이 됩니다. 이벤트 때 잠깐 쓰고 잊어버린 신청 양식이 대표적입니다.
이번 공격도 업데이트하지 않은 버전을 노렸습니다. 업데이트는 새 기능보다 "구멍 막기"가 주된 목적인 경우가 많습니다. 미루면 미룰수록 문을 열어 둔 시간이 길어집니다.
- 홈페이지에 있는 양식을 모두 적어 보세요.
- 파일 첨부가 꼭 필요한 양식만 남기세요.
- 쓰지 않는 양식과 추가 프로그램은 끄거나 지우세요.
- 남은 기능은 업데이트 날짜를 확인하세요.
한 줄 정리: 안 쓰는 문은 잠그는 것보다 없애는 게 더 안전합니다.
그래서 우리 가게에는? 업체에 물어볼 세 가지
직접 만든 홈페이지가 아니라면 제작·관리 업체에 세 가지만 물어보시면 됩니다. 기술 용어를 몰라도 이 질문이면 충분합니다.
| 질문 | 좋은 답의 예 |
|---|---|
| 첨부 파일은 어떤 종류와 크기만 받나요? | 사진·PDF만, 10메가바이트 이하로 제한합니다 |
| 올라온 파일은 어디에 저장되나요? | 실행이 막힌 별도 공간에 저장합니다 |
| 추가 프로그램 업데이트는 누가 언제 하나요? | 보안 공지가 나오면 바로 반영합니다 |
예를 들어, 문의 양식에 첨부가 꼭 필요 없는 동네 식당이라면 첨부 기능을 끄는 게 가장 쉬운 방법입니다. 반대로 도면을 받아야 하는 업종이라면 위 세 질문의 답을 받아 두세요. 점검이나 수정이 필요하면 유지보수 안내에서 건별 작업 비용을 미리 볼 수 있습니다.
한 줄 정리: 첨부가 필요 없으면 끄고, 필요하면 세 가지 답을 받아 두세요.
오늘 할 일 체크리스트
- 홈페이지 문의 양식에 파일 첨부 버튼이 있는지 확인하세요.
- 첨부가 꼭 필요 없다면 끄도록 요청하세요.
- 받을 파일 종류와 크기 제한을 정하세요.
- 첨부 파일 주소를 로그아웃 상태에서 열어 보세요.
- 업체에 업로드 폴더 실행 차단 여부를 물어보세요.
- 추가 프로그램 업데이트 담당자와 주기를 정하세요.
한 줄 정리: 여섯 가지 중 1번과 4번은 오늘 10분 안에 직접 해 볼 수 있습니다.
자주 묻는 질문
워드프레스를 안 쓰면 이번 일과 상관없나요?
이번 취약점 자체는 해당 워드프레스 플러그인에만 해당합니다. 하지만 파일 첨부 기능의 위험은 어떤 홈페이지에나 있습니다. 첨부 기능이 있다면 이 글의 세 가지 질문은 똑같이 확인해 보세요.
문의 양식에 사진 첨부를 빼면 손님이 불편하지 않을까요?
업종에 따라 다르니 실제로 첨부를 몇 번 받았는지부터 세어 보세요. 최근 3개월에 몇 건뿐이라면 카카오톡이나 이메일로 받는 편이 더 간단합니다. 자주 받는다면 기능은 두고 저장 방식을 점검하세요.
이미 해킹당한 것 같으면 어디에 알려야 하나요?
먼저 제작·관리 업체에 바로 연락해 접속 기록 확인을 요청하세요. 한국인터넷진흥원 보호나라(국번 없이 118)에서도 침해사고 상담과 신고를 받습니다. 혼자 파일을 지우기 전에 증거가 남도록 화면을 캡처해 두세요.
한 줄 정리: 첨부 기능이 있다면 플랫폼과 상관없이 같은 점검이 필요합니다.
우리 홈페이지 첨부 기능이 안전한지 궁금하시다면 무료 견적 상담에 홈페이지 주소를 남겨 주세요.
사진: Unsplash (photo-1508345228704-935cc84bf5e2, photo-1583521214690-73421a1829a9, photo-1699320431858-484ef559c880)