주소창에 자물쇠만 보이면 안전한 사이트라고 알고 계시죠? 그런데 이달 초, 진짜 자물쇠가 달린 가짜 사이트가 만들어질 수 있는 사건이 공개됐습니다. 결론부터 말하면, 우리 도메인은 4단계로 직접 확인할 수 있습니다. 이 글에서 무슨 일이 있었는지, 무엇을 하면 되는지 차례로 정리합니다.
SSL 인증서 무단 발급, 무슨 일이었나요?
도메인을 관리하는 업체가 뚫리자, 공격자가 남의 도메인 이름으로 진짜 인증서를 받아 간 사건입니다. 여기서 SSL 인증서는 주소창에 자물쇠를 띄워 주는 보안 증명서입니다.
구글은 10월 6일 공식 블로그에서 이 사건을 밝혔습니다(구글 공식 블로그). 가나(.gh), 시에라리온(.sl), 아메리칸사모아(.as) 국가 도메인의 외부 운영 업체가 공격받았습니다. 공격자는 DNS(도메인이 어느 서버로 가는지 알려 주는 길 안내 정보)를 바꿨습니다. 그 덕분에 인증서 발급 기관의 정상 확인 절차를 그대로 통과했습니다.
비유하면 건물 관리사무소가 털려서, 도둑이 "이 집 주인" 출입증을 정식으로 받아 간 셈입니다. 출입증 자체는 진짜라 경비원도 속기 쉽습니다. 국내에는 보안뉴스가 10월 8일 이 소식을 전했습니다(보안뉴스 기사).
| 항목 | 내용 |
|---|---|
| 공개된 날 | 2026년 10월 6일, 구글 공식 블로그 |
| 뚫린 곳 | .gh·.sl·.as 국가 도메인의 외부 운영 업체 |
| 받아 간 것 | 구글 등 여러 기관 도메인의 진짜 인증서 |
| 구글의 조치 | 크롬에서 차단, 발급 기관과 함께 인증서 취소 |
| 남은 걱정 | 구글도 피해 도메인을 모두 찾았다고 장담하지 못함 |
한 줄 정리: 도메인 설정을 바꿀 수 있는 쪽이 뚫리면, 진짜 자물쇠도 남이 받아 갈 수 있습니다.
그래서 우리 가게에는?
.kr이나 .com을 쓰는 동네 가게가 이번 사건의 직접 피해자일 가능성은 낮습니다. 하지만 같은 원리는 어느 도메인에서든 일어날 수 있습니다.
핵심은 "도메인 설정을 바꿀 수 있는 계정"입니다. 우리 가게라면 도메인을 산 업체 계정과 홈페이지 업체 관리 화면이 여기에 해당합니다. 그 계정에 연결된 이메일도 마찬가지입니다.
예를 들어, 직원 5명인 꽃집이 가비아에서 도메인을 샀다고 해 볼게요. 그런데 계정 이메일이 몇 년 전 그만둔 직원의 개인 메일입니다. 그 메일이 털리면 비밀번호 찾기로 도메인 계정까지 넘어갈 수 있습니다. 그러면 가짜 주문 페이지에도 진짜 자물쇠가 달릴 수 있습니다.
| 위험한 상황 | 왜 위험한가요 | 오늘 할 일 |
|---|---|---|
| 퇴사자 메일로 가입된 도메인 계정 | 비밀번호 찾기가 남의 손에 있음 | 대표 메일로 바꾸기 |
| 비밀번호를 여러 사이트에서 같이 씀 | 한 곳이 새면 다 열림 | 도메인 계정만 새 비밀번호 |
| 2단계 인증을 안 켬 | 비밀번호만 알면 바로 로그인 | 지원하면 바로 켜기 |
한 줄 정리: 우리 가게의 자물쇠를 지키는 열쇠는 도메인 업체 계정과 그 계정의 이메일입니다.
1단계: 도메인 업체 계정부터 잠그세요
가장 먼저 도메인을 산 업체의 계정을 점검하세요. 인증서 무단 발급은 대부분 도메인 설정을 바꿀 수 있어야 가능하기 때문입니다.
- 도메인을 어디서 샀는지 확인하세요. 결제 문자나 갱신 안내 메일을 찾아보면 됩니다.
- 그 업체에 로그인해 가입 이메일이 지금 쓰는 메일인지 보세요.
- 비밀번호를 다른 사이트와 겹치지 않는 새 비밀번호로 바꾸세요.
- 2단계 인증(비밀번호 말고 휴대폰 확인을 한 번 더 받는 것)이 있으면 켜세요.
도메인 업체마다 메뉴 이름이 다르니, 찾기 어려우면 고객센터에 "2단계 인증 설정"을 물어보면 됩니다. 여기까지만 해도 위험의 큰 부분을 줄일 수 있습니다.
한 줄 정리: 도메인 계정 이메일, 비밀번호, 2단계 인증 세 가지만 오늘 확인하세요.
2단계: 우리 도메인 인증서 기록을 검색하세요
발급된 인증서는 모두 공개 기록에 남아, 무료 사이트에서 누구나 조회할 수 있습니다. 구글도 이번 공지에서 모든 도메인의 인증서 공개 기록을 지켜보라고 권했습니다.
crt.sh(인증서 공개 기록 검색 사이트)에 도메인을 넣으면 발급 내역이 나옵니다. 목록에는 발급 기관 이름과 날짜가 함께 보입니다. 자물쇠 인증서는 보통 몇 달마다 자동으로 바뀌니, 같은 발급 기관 이름이 여러 줄 나오는 건 정상입니다.
| 목록에 보이는 것 | 정상일 가능성 | 확인할 것 |
|---|---|---|
| 같은 발급 기관이 몇 달 간격으로 반복 | 높음 | 자동 갱신이면 그대로 두기 |
| 처음 보는 발급 기관 이름 | 낮음 | 홈페이지 업체에 맞는지 묻기 |
| 아무도 작업 안 한 날짜의 발급 | 낮음 | 그날 누가 설정을 바꿨는지 묻기 |
| 만든 적 없는 하위 주소 | 낮음 | 바로 도메인 업체에 알리기 |
하위 주소는 shop.도메인, mail.도메인처럼 앞에 이름이 붙은 주소를 말합니다.
한 줄 정리: 같은 발급 기관의 반복은 정상, 처음 보는 이름과 날짜는 바로 물어보세요.
3단계: CAA 기록으로 발급처를 정해 두세요
CAA 기록은 "우리 도메인 인증서는 이 기관에서만 발급"이라고 적어 두는 명단입니다. 도메인 설정 화면에 한 줄을 추가하는 방식입니다.
구글은 이 명단을 좁게 걸어 두라고 권했습니다. 다만 도메인 설정 자체가 뚫린 동안에는 막지 못한다고 밝혔습니다. 대신 설정을 되찾은 뒤, 예전 확인 결과로 다시 발급받는 것을 막는 데 도움이 됩니다.
조심할 점이 하나 있습니다. 지금 쓰는 발급 기관을 빼고 걸면, 자동 갱신이 막혀 자물쇠가 사라질 수 있습니다. 그래서 혼자 하기보다 홈페이지 업체와 함께 설정하는 걸 권합니다. 잇다웹 단가표 기준 도메인·DNS 설정 변경은 50,000원입니다. 2026년 10월 공식 페이지 기준이며 부가세 포함입니다(유지보수 단가표).
한 줄 정리: CAA 기록은 사고 뒤 재발급을 막는 잠금장치이니, 지금 쓰는 발급 기관을 꼭 넣어 설정하세요.
4단계: 이상한 기록을 찾았다면 이렇게 하세요
처음 보는 인증서를 찾았다면 지우려 하지 말고, 먼저 기록부터 남기세요. 증거가 있어야 업체와 기관이 빨리 움직일 수 있습니다.
- 검색 결과 화면을 캡처하고 날짜를 적어 두세요.
- 도메인 업체와 홈페이지 업체에 동시에 알리세요.
- 도메인 계정 비밀번호를 다시 바꾸고 로그인 기록을 확인하세요.
- 업체를 통해 해당 인증서 취소를 발급 기관에 요청하세요.
- 피해가 의심되면 한국인터넷진흥원 상담전화 118로 문의하세요.
한 줄 정리: 캡처, 업체 연락, 비밀번호 변경, 취소 요청, 118 순서로 움직이세요.
실행 체크리스트
오늘 30분 안에 끝낼 수 있는 일입니다.
- □ 도메인을 산 업체와 계정 이메일 확인하기
- □ 도메인 계정 비밀번호를 새것으로 바꾸기
- □ 2단계 인증이 있으면 켜기
- □ crt.sh에서 우리 도메인 인증서 목록 한 번 보기
- □ 처음 보는 발급 기관이 있으면 홈페이지 업체에 묻기
- □ CAA 기록을 넣을지 홈페이지 업체와 상의하기
한 줄 정리: 계정 잠그기, 기록 조회, 발급처 정하기 세 가지가 이번 사건의 교훈입니다.
자주 묻는 질문
자물쇠가 보이면 무조건 안전한 사이트인가요?
아니요, 자물쇠는 "연결이 암호화됐다"는 뜻이지 "착한 사이트"라는 뜻이 아닙니다. 이번 사건처럼 진짜 인증서를 단 가짜 사이트도 생길 수 있습니다. 그래서 주소 철자를 한 글자씩 보는 습관이 중요합니다. 손님에게도 공식 주소 1개만 안내해 두세요.
crt.sh에 우리 도메인 기록이 수십 개 나오는데 해킹인가요?
대부분 정상입니다. 자물쇠 인증서는 보통 몇 달마다 자동으로 바뀌어, 1년이면 여러 줄이 쌓입니다. 같은 발급 기관이 일정한 간격으로 반복된다면 걱정하지 않으셔도 됩니다. 처음 보는 기관 이름이나 만든 적 없는 하위 주소만 따로 물어보세요.
CAA 기록을 넣는 데 돈이 드나요?
기록 자체는 도메인 설정 화면에 한 줄을 넣는 일입니다. 직접 하면 작업비가 들지 않지만, 잘못 넣으면 자물쇠 갱신이 막힐 수 있어 업체에 맡기는 편이 안전합니다. 잇다웹 기준 도메인·DNS 설정 변경 작업은 50,000원입니다(2026년 10월 공식 페이지 기준). 정확한 발급 기관 이름을 먼저 확인한 뒤 진행하세요.
크롬이 막아 줬다는데, 다른 브라우저 쓰는 손님은요?
구글도 크롬의 차단이 다른 브라우저까지 지켜 주지는 못한다고 밝혔습니다. 구글은 발급 기관과 함께 인증서 자체를 취소해 다른 프로그램 이용자도 보호하려 했습니다. 하지만 모든 피해 도메인을 찾았다고 장담하지는 못했습니다. 그래서 도메인 주인이 직접 기록을 확인하는 게 가장 확실합니다.
한 줄 정리: 자물쇠는 시작일 뿐이고, 우리 도메인의 인증서 기록은 주인이 직접 확인해야 합니다.
우리 도메인 설정이 안전한지 함께 보고 싶으시면 무료 견적 상담에 도메인 주소를 남겨 주세요.
사진: Unsplash (photo-1785413872621-bfd6377f671c, photo-1782364742370-8bdf39cc0e3f, photo-1788740876706-b24333c01499)