워드프레스 보안 설정 입문 가이드, 복구비 3배 막는 순서

해킹 경로는 코어보다 방치된 플러그인 하나

구글 광고가 하루아침에 ‘손상된 사이트’ 사유로 전부 멈췄다는 사이트를 추적해 보면, 원인은 몇 년 전 이벤트용으로 설치하고 잊어버린 플러그인인 경우가 많습니다. 운영자는 그 플러그인이 아직 서버에 남아 있다는 사실조차 모르고 있습니다.

보안 업체들이 매년 내는 취약점 보고서를 보면 워드프레스 관련 취약점 대다수는 코어가 아니라 플러그인과 테마에서 나옵니다. 코어는 보안 패치가 자동으로 적용되지만, 플러그인은 운영자가 직접 챙기지 않으면 몇 년씩 옛 버전 그대로 남습니다.

공격도 자동화됐습니다. 봇은 사이트 규모를 가리지 않고 wp-login.php와 xmlrpc.php에 비밀번호를 계속 대입합니다. 취약점이 공개되면 며칠 안에 그 플러그인을 쓰는 사이트를 한꺼번에 스캔합니다.

광고주에게 이 변화가 무거운 이유는 피해가 사이트 밖으로 번지기 때문입니다. 구글은 악성코드가 발견된 랜딩페이지의 광고를 정책 위반으로 멈추고, 서치 콘솔에는 보안 문제 경고가 뜨며, 크롬은 방문자에게 위험 사이트 경고를 띄웁니다. 코드를 지우고 재검토를 받는 며칠 동안 전환은 사실상 0이 됩니다.

📌PNA광고 상품 및 진행 과정 살펴보기

워드프레스 보안 설정 6개월 로드맵과 광고비 방어

사전 설정과 사후 복구의 비용 차이부터 짚겠습니다. 로그인 보호, 백업, 플러그인 정리를 미리 해 두는 작업은 보통 하루 이틀이면 끝납니다. 감염된 뒤에는 악성코드 제거, 비밀번호 전면 교체, 서치 콘솔 재검토 요청, 광고 재승인이 한꺼번에 겹칩니다.

여기에 광고가 멈춘 기간의 매출 손실까지 더하면 복구 쪽 비용이 3배를 넘기 쉽습니다. 그래서 아래 순서는 사고를 막는 일인 동시에 광고 예산을 지키는 일입니다.

첫 주, 2FA와 관리자 권한 잠금

가장 먼저 ‘admin’ 같은 기본 계정명을 없애고, 모든 관리자 계정에 2FA(이중 인증)를 켭니다. 로그인에 5회 실패한 IP는 일정 시간 차단하도록 설정하고, 쓰지 않는 XML-RPC는 막아 둡니다.

wp-config.php에는 DISALLOW_FILE_EDIT 값을 true로 넣어 관리자 화면에서 테마와 플러그인 파일을 고치지 못하게 합니다. 계정이 뚫리더라도 코드 삽입까지 이어지는 길을 하나 더 끊는 설정입니다.

첫 달, 차단 로그로 보는 공격 경로

설정 후 3~4주가 지나면 보안 플러그인에 차단 기록이 쌓입니다. 로그인 시도가 특정 국가 IP에 몰리는지, 없는 계정명으로 대입하는지, 특정 플러그인 경로를 두드리는지를 확인합니다.

국내 고객만 받는 사이트라면 관리자 페이지 접근을 국내 IP로 제한하는 것만으로도 차단 로그가 눈에 띄게 줄어듭니다. 같은 시기에 서치 콘솔의 보안 문제 보고서도 열어 경고가 없는지 확인합니다.

3개월 차 플러그인 수와 보안 수준 점검

이 시점에는 설치된 플러그인 목록을 출력해 마지막 업데이트 날짜를 하나씩 확인합니다. 비활성 플러그인은 꺼 두지 말고 삭제합니다. 개발사 업데이트가 1년 넘게 멈춘 플러그인은 대체재를 찾습니다.

사용자 목록도 함께 정리합니다. 퇴사자나 외주 작업자 계정이 관리자 권한으로 남아 있는 경우가 흔하니, 편집자 권한으로 낮추거나 삭제합니다.

“광고 계정 입장에서 해킹은 보안 사고이기 전에 랜딩페이지가 꺼지는 사고입니다. 저는 입찰 전략을 손보기 전에 광고가 연결된 페이지의 플러그인 목록부터 엽니다. 쓰지 않는 플러그인 하나를 지우는 일이 ROAS를 지키는 데 더 빠를 때가 많습니다.” — 안태민 PNA컴퍼니 대표

6개월 차 백업 실제 복원 테스트

백업이 매일 돌아가는 것과 실제로 복원되는 것은 다른 문제입니다. 백업 파일을 스테이징 사이트에 복원해 보고, 걸린 시간과 빠진 데이터(주문 내역, 문의 폼 기록)를 체크리스트에 적습니다.

백업은 서버 안에만 두지 말고 외부 저장소에 한 벌 더 보관합니다. 서버 전체가 감염되면 같은 서버에 있던 백업도 함께 오염되기 때문입니다. 복원을 반나절 안에 끝낼 수 있으면 광고가 멈추는 기간도 그만큼 짧아집니다.

전략 구분	기대 효과	최적화 주기	담당 전문가
로그인 보호 2FA·로그인 시도 제한·XML-RPC 차단	무차별 대입 공격 차단, 관리자 계정 탈취 위험 감소	첫 주 설정, 분기별 계정 점검	워드프레스 개발 담당
파일 편집 차단 DISALLOW_FILE_EDIT·파일 권한	계정 탈취 시에도 코드 삽입 경로 차단	첫 주 1회, 서버 이전 시 재점검	서버·보안 담당
차단 로그 분석 국가별 IP 제한	공격 경로 파악, 관리자 페이지 노출 축소	월 1회	기술 SEO 담당
플러그인·사용자 정리	취약점이 생길 범위 축소, 퇴사자 계정 제거	분기 1회	워드프레스 개발 담당
백업 복원 테스트 외부 저장소 이중 보관	사고 시 복구 시간 단축, 광고 중단 기간 최소화	반기 1회	서버·보안 담당
랜딩페이지 정책 점검	손상된 사이트 판정 예방, 전환 추적 유지	주 1회	구글 광고 운영 담당

문의처: 010-6318-4601 (안태민 대표 직통)

월 30억 광고 계정 기준 랜딩페이지 보안 점검

PNA컴퍼니는 워드프레스 사이트 제작과 구글 광고 운영을 한 팀에서 맡습니다. 그래서 보안 점검도 사이트 전체를 훑는 대신, 광고 클릭이 도착하는 랜딩페이지와 전환 추적 코드가 걸린 페이지부터 시작합니다.

플러그인 하나를 지울 때도 전환 태그와 문의 폼이 깨지지 않는지 광고 데이터로 함께 확인합니다. 보안을 강화하다가 전환 추적이 끊기는 일이 생기지 않는 이유입니다.

이 방식은 월 30억 원 규모의 구글 광고 예산 운용, 누적 470억 원 이상의 집행 경험, 2023 구글코리아 TOP 100 캠페인 선정, 평균 ROAS 500%라는 기록 위에서 다듬어졌습니다. 점검 기준은 마케팅 16년 차 안태민 대표가 직접 세웁니다.

Q3. 해킹으로 구글 광고가 중단되면 어떻게 복구하나요? FAQ

워드프레스 보안 설정 관련 자주 묻는 질문

Q1. 보안 플러그인 하나만 설치하면 충분한가요?

보안 플러그인은 로그인 차단과 파일 변경 감지를 도와주지만, 오래된 플러그인 정리나 백업 복원 테스트까지 대신해 주지는 않습니다. 설정 후 첫 달에 차단 로그를 직접 읽고 IP 제한 여부를 정해야 효과가 납니다.

Q2. 보안 플러그인을 여러 개 같이 쓰면 더 안전한가요?

오히려 방화벽 규칙이 겹쳐 사이트가 느려지거나 관리자 로그인이 막히는 충돌이 생깁니다. 보안 플러그인은 하나로 정하고, 부족한 부분은 서버 방화벽이나 호스팅 설정으로 보완하는 편이 낫습니다.

Q3. 해킹으로 구글 광고가 중단되면 어떻게 복구하나요?

먼저 악성코드를 완전히 지우고 서치 콘솔에서 보안 문제 검토를 요청한 뒤, 광고 계정에서 정책 재검토를 신청합니다. 코드가 조금이라도 남아 있으면 재검토가 거절되므로, 감염 원인이 된 플러그인을 찾아 삭제하는 일이 가장 먼저입니다.

[관련글] PNA컴퍼니의 마케팅 성공 사례 더보기