AI가 웹사이트의 취약점을 찾고 수정하는 일이 더 이상 실험 단계에 머물지 않는다. 코드게이트 2026에서 소개된 마이크로소프트의 다중 에이전트 보안 시스템은 여러 AI가 취약점을 발견하고, 서로 검증하고, 실제 악용 가능성까지 판단하는 방식으로 작동한다.
문제는 같은 기술을 공격자도 사용할 수 있다는 점이다. 예전에는 사람이 오래 분석해야 했던 낡은 플러그인, 약한 로그인 정보, 잘못 열린 파일 권한을 이제는 자동화 도구가 빠르게 찾을 수 있다. 워드프레스 운영자라면 “내 사이트는 작아서 괜찮다”보다 자동 스캔에 걸려도 쉽게 뚫리지 않는 상태를 만드는 것이 중요하다.
아래 9가지만 점검해도 대부분의 기본적인 침입 위험과 복구 비용을 크게 줄일 수 있다.
먼저 확인할 워드프레스 위험 신호
| 위험 신호 | 의미 | 우선 조치 |
|---|---|---|
| 업데이트가 밀린 플러그인이 있다 | 공개된 취약점이 남아 있을 수 있음 | 백업 후 즉시 업데이트 |
| 사용하지 않는 테마·플러그인이 많다 | 공격 표면이 불필요하게 넓음 | 비활성화가 아닌 완전 삭제 |
| 관리자 계정을 여러 사람이 공유한다 | 사고 원인과 접속자를 추적하기 어려움 | 사용자별 계정 분리 |
| 관리자 로그인에 2단계 인증이 없다 | 비밀번호 유출만으로 침입 가능 | 인증 앱 기반 2FA 적용 |
| 백업 복원 테스트를 해본 적이 없다 | 백업 파일이 있어도 복구하지 못할 수 있음 | 별도 환경에서 복원 점검 |
| 모르는 관리자 계정이 보인다 | 침해 가능성이 높은 징후 | 계정 차단 후 로그·파일 검사 |
1. 코어·테마·플러그인을 최신 상태로 유지한다
워드프레스 공식 보안 가이드가 가장 먼저 강조하는 것도 업데이트다. 취약점이 공개되고 수정 버전이 나오면 공격 방법도 빠르게 알려지기 때문에 오래된 버전을 계속 사용하는 시간이 길수록 위험해진다.
- 워드프레스 코어의 보안 자동 업데이트 활성화
- 플러그인과 테마는 변경 내역을 확인한 뒤 업데이트
- 중요한 업데이트 전에는 파일과 데이터베이스 백업
- 운영 환경과 PHP 버전의 호환성 확인
자동 업데이트를 무조건 켜는 것보다 백업 → 업데이트 → 화면과 주요 기능 확인 순서를 정해두는 편이 안전하다.
2. 사용하지 않는 플러그인과 테마는 삭제한다
비활성화한 플러그인도 서버에 파일이 남아 있다. 취약한 파일을 직접 호출할 수 있는 구조라면 사용하지 않는 플러그인도 공격 경로가 될 수 있다.
관리자 화면에서 최근 3개월간 사용하지 않은 플러그인과 테마를 확인하자. 기본 테마 하나를 제외하고 필요 없는 항목은 완전히 삭제한다. 출처가 불분명한 유료 플러그인 복제본이나 수정본은 사용하지 않는 것이 원칙이다.
3. 관리자 계정에 2단계 인증을 적용한다
강력한 비밀번호만으로는 피싱과 정보 유출에 충분히 대비하기 어렵다. 최소한 관리자와 편집자 계정에는 인증 앱을 이용한 2단계 인증을 적용하는 것이 좋다.
- 사이트마다 다른 긴 비밀번호 사용
- 비밀번호 관리자로 생성·보관
- SMS보다 인증 앱이나 보안 키 우선
- 복구 코드는 오프라인에 별도 보관
admin처럼 추측하기 쉬운 사용자명은 피하기
4. 사람 계정과 AI 자동화 계정을 분리한다
AI 에이전트나 자동화 도구로 글을 발행하고 사이트를 관리한다면 개인 관리자 비밀번호를 그대로 연결하면 안 된다. 자동화 전용 사용자를 만들고 필요한 역할만 부여해야 한다.
예를 들어 글 작성만 필요하다면 최고관리자 대신 작성자 또는 편집자 권한을 검토한다. 연결에는 일반 비밀번호보다 워드프레스의 응용 프로그램 비밀번호(Application Password)를 사용하고, 도구별로 별도 발급한다.
- 자동화 도구마다 계정 또는 응용 프로그램 비밀번호 분리
- 사용 목적을 알아볼 수 있는 이름 지정
- 더 이상 쓰지 않는 연결은 즉시 폐기
- 토큰과 비밀번호를 코드·메신저·공개 저장소에 남기지 않기
- 삭제, 결제, 사용자 관리 같은 민감 작업은 사람 승인 후 실행
AI가 편리할수록 권한을 작게 나누는 것이 중요하다. 하나의 키가 유출됐을 때 사이트 전체가 넘어가지 않도록 피해 범위를 제한하는 방식이다.
5. 로그인 시도 제한과 접속 알림을 설정한다
워드프레스 로그인 주소는 쉽게 찾을 수 있어 무차별 대입 공격이 반복된다. 로그인 실패 횟수를 제한하고, 새로운 관리자 접속이나 비밀번호 변경이 발생하면 알림을 받도록 설정하자.
단, 로그인 주소만 바꾸는 것은 보안의 핵심 대책이 아니다. 2단계 인증, 강한 비밀번호, 접속 제한을 함께 적용해야 한다. 프록시나 CDN을 사용한다면 실제 방문자 IP가 올바르게 기록되는지도 확인해야 한다.
6. 웹 방화벽과 악성코드 검사를 한 가지 체계로 운영한다
웹방화벽(WAF)은 반복 로그인, 알려진 악성 요청, 의심스러운 파일 접근을 차단하는 데 도움이 된다. 보안 플러그인이나 호스팅 업체의 WAF 가운데 관리 가능한 방식을 하나 선택하고 경고를 실제로 확인해야 한다.
보안 플러그인을 여러 개 겹쳐 설치하면 충돌하거나 서버가 느려질 수 있다. 핵심은 설치 개수가 아니라 다음 기능이 작동하는지다.
- 파일 변경 탐지
- 관리자 로그인 알림
- 악성코드 검사
- 차단 기록 확인
- 정기 검사 일정
7. 백업은 사이트 외부에 보관하고 복원까지 시험한다
백업이 같은 서버에만 있으면 서버 장애나 랜섬웨어 발생 시 원본과 함께 사라질 수 있다. 데이터베이스와 wp-content를 정기적으로 백업하고 외부 저장소에도 보관하자.
권장하는 기본 구조는 다음과 같다.
- 운영 서버의 자동 백업
- 클라우드나 별도 저장장치에 추가 사본
- 최근 백업 여러 세대 보관
- 월 1회 이상 복원 테스트
이미지 용량이 지나치게 크면 백업과 복원 시간도 늘어난다. 기존 이미지를 정리할 때는 이미지 압축 방법과 imagesize.net 소개도 참고할 수 있다.
8. 파일 편집과 권한을 최소화한다
관리자 화면에서 테마·플러그인 파일을 직접 편집할 수 있으면 관리자 계정이 탈취됐을 때 악성코드를 심는 데 악용될 수 있다. 필요하지 않다면 wp-config.php에 다음 설정을 추가해 파일 편집 기능을 막을 수 있다.
define('DISALLOW_FILE_EDIT', true);
파일과 디렉터리 권한을 무조건 넓게 주는 것도 피해야 한다. wp-config.php와 백업 파일이 외부에서 내려받아지지 않는지 확인하고, 작업이 끝난 설치 파일과 임시 파일은 삭제한다. 서버 설정이 익숙하지 않다면 임의로 권한을 바꾸기보다 호스팅 업체에 점검을 요청하는 편이 안전하다.
9. 로그·보안 알림과 사고 대응 순서를 준비한다
침해 사고는 예방만큼 발견 속도가 중요하다. 다음 항목을 정기적으로 확인하면 이상 징후를 빨리 찾을 수 있다.
- 새 관리자 계정 생성 기록
- 플러그인 설치·삭제 및 파일 변경
- 반복되는 로그인 실패
- 갑작스러운 해외 접속
- 검색결과의 스팸 페이지 생성
- Search Console의 보안 문제 알림
해킹이 의심되면 먼저 증상과 발견 시간을 기록하고, 무작정 파일을 삭제하기 전에 백업을 확보한다. 이후 관리자 비밀번호와 응용 프로그램 비밀번호를 교체하고, 사이트와 운영 PC를 모두 검사한다. 공유 호스팅이라면 호스팅 업체에도 즉시 문의해야 한다.
15분 안에 끝내는 워드프레스 보안 체크리스트
- [ ] 워드프레스 코어·테마·플러그인 업데이트
- [ ] 사용하지 않는 플러그인·테마 삭제
- [ ] 관리자 계정 2단계 인증 적용
- [ ] 공유 관리자 계정을 사용자별로 분리
- [ ] AI 자동화 계정과 응용 프로그램 비밀번호 분리
- [ ] 로그인 실패 제한과 관리자 접속 알림 설정
- [ ] 외부 저장소 백업 및 최근 복원 결과 확인
- [ ] 보안 플러그인의 최근 검사·차단 기록 확인
- [ ] 모르는 사용자와 갑작스러운 파일 변경 확인
자주 묻는 질문
보안 플러그인 하나만 설치하면 충분할까?
아니다. 보안 플러그인은 탐지와 차단을 돕는 도구일 뿐이다. 업데이트, 2단계 인증, 최소 권한, 외부 백업이 함께 적용돼야 한다.
플러그인은 자동 업데이트가 나을까?
보안 수정이 잦고 호환성이 안정적인 플러그인은 자동 업데이트가 유용하다. 쇼핑몰이나 결제처럼 장애 영향이 큰 사이트는 스테이징 환경과 백업을 준비한 뒤 업데이트하는 편이 안전하다.
AI 자동화에 최고관리자 권한이 꼭 필요할까?
대부분의 글 작성·수정 작업에는 필요하지 않다. 작업 범위에 맞는 최소 역할을 부여하고, 민감한 작업은 별도 승인 절차를 두는 것이 좋다.
해킹이 의심되면 가장 먼저 무엇을 해야 할까?
증상과 시간을 기록하고 현재 상태의 백업을 확보한다. 관리자·호스팅·FTP·데이터베이스 자격 증명을 교체한 뒤 호스팅 업체와 함께 로그 및 악성 파일을 조사한다.
마무리
AI 보안 기술이 발전하면 방어 속도도 빨라지지만 공격 자동화의 문턱도 낮아진다. 워드프레스 보안은 특별한 도구 하나보다 업데이트, 계정 분리, 최소 권한, 외부 백업, 지속적인 확인을 반복하는 운영 습관에 달려 있다.
오늘은 최소한 관리자 2단계 인증과 사용하지 않는 플러그인 삭제부터 시작하자. 두 항목만 바로 적용해도 자동 공격이 노리는 가장 흔한 틈을 줄일 수 있다.