기업 홈페이지가 해킹된 것으로 의심되면 먼저 증거를 보존하고 피해가 번지지 않도록 차단합니다. 그다음 침해사고 신고 대상인지 확인하고, 마지막으로 복구와 재발 방지를 진행합니다. 개인정보가 유출되었을 가능성이 있다면 기술적 조치와 별도로 개인정보 유출 신고 대상인지 먼저 확인합니다.
홈페이지 해킹 의심 징후는 어떻게 구분합니까?
해킹은 화면이 바뀌는 식으로 눈에 띄게 드러나기도 하지만, 겉으로 아무 변화 없이 진행되는 경우도 있습니다. 담당자가 평소 운영 상태를 알고 있어야 이상 징후를 빨리 구분할 수 있습니다. 다음 항목 가운데 하나라도 확인되면 단순 장애로 넘기지 말고 침해 가능성을 전제로 대응을 시작합니다.
- 메인 화면이나 게시판에 등록한 적 없는 문구, 이미지, 외부 이동 스크립트가 나타납니다.
- 검색 결과에 홈페이지 주소와 함께 도박·불법 의약품 등 관련 없는 키워드가 노출됩니다.
- 웹 서버 디렉터리에 만든 적 없는 파일이나 최근 수정 시각이 바뀐 스크립트 파일이 있습니다.
- 관리자 계정이 새로 생겼거나 평소와 다른 시간대·지역에서 관리자 로그인 기록이 남아 있습니다.
- 서버의 외부 발신 트래픽이 갑자기 늘었거나, 백신·브라우저가 접속 경고를 표시합니다.
이 단계에서 서버를 바로 초기화하거나 의심 파일을 지우는 것은 피합니다. 침입 경로와 유출 범위를 판단할 근거가 사라지면 이후 신고와 재발 방지 과정에서 원인을 설명하기 어려워집니다.
발견 직후 첫 몇 시간 동안 무엇을 해야 합니까?
초기 대응의 원칙은 보존, 차단, 판단, 보고 순서입니다. 보존은 현재 상태를 기록으로 남기는 것이고, 차단은 공격자가 더 이상 접근하지 못하게 하면서 방문자 피해를 막는 것입니다. 아래 표는 첫날 진행할 작업을 시간 흐름에 따라 정리한 것입니다. 시간 구분은 내부 운영 목표를 잡기 위한 예시이며 법정 기한과는 다릅니다.
| 시점(발견 기준) | 핵심 작업 | 확인·기록할 내용 |
|---|---|---|
| 0~1시간 | 대응 책임자 지정, 화면 캡처, 로그·디스크 사본 확보 | 발견 시각, 발견 경위, 변조된 화면과 파일 목록 |
| 1~4시간 | 점검 안내 페이지 전환, 관리자·서버·DB 비밀번호 변경, 의심 IP 차단, 침해사고 신고(24시간) 대상 여부 판단 | 변경한 계정 목록, 차단 조치 시각, 서비스 중단 범위, 침해사고 신고 대상 판단 결과 |
| 4~8시간 | 침입 경로 추정, 개인정보가 저장된 DB 접근 여부 확인 | 접속 로그상의 이상 요청, 유출 가능성이 있는 항목과 규모 |
| 8~24시간 | 개인정보 유출 신고 대상 여부 판단, 정보주체 통지 문안 준비, 경영진 보고 | 유출 신고(72시간) 해당 여부 |
| 24시간 이후 | 취약점 제거 후 재구축, 모니터링 강화, 사후 보고서 작성 | 원인, 조치 내역, 재발 방지 계획 |
침해사고 신고는 알게 된 때부터 24시간 안에 마쳐야 하므로 신고 대상 판단은 가능한 한 일찍 합니다. 판단이 늦어지면 상담 창구로 먼저 문의합니다.
로그는 웹 서버 접근 로그, 애플리케이션 오류 로그, 데이터베이스 접속 기록, 방화벽 기록을 함께 확보합니다. 호스팅이나 외주 개발사에 운영을 맡겼다면 해당 업체에 로그 보존을 즉시 요청합니다. 보존 기간이 짧게 설정된 경우 며칠 만에 기록이 덮어써질 수 있습니다.
한국인터넷진흥원은 해킹 피해 상담을 위한 118 상담 창구를 운영합니다. 내부에 보안 전담 인력이 없다면 초기에 이 창구를 이용하는 방안을 검토합니다.
어떤 경우에 침해사고 신고와 개인정보 유출 신고를 해야 합니까?
신고는 근거 법률에 따라 두 갈래로 나뉩니다. 하나는 정보통신망 침해사고 자체에 대한 신고이고, 다른 하나는 개인정보 유출에 대한 신고입니다. 두 의무는 서로 다른 법률에서 정하고 있으므로 하나를 했다고 다른 하나가 면제되지 않습니다.
정보통신망 침해사고 신고
정보통신망 이용 촉진 및 정보보호 등에 관한 법률 제48조의3에 따르면 정보통신서비스 제공자는 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고해야 합니다(한국인터넷진흥원 침해사고 신고 안내). 홈페이지로 영리 목적의 서비스를 제공하는 사업자라면 신고 대상인 정보통신서비스 제공자에 해당할 수 있으므로 해당 여부를 검토합니다. 해당 여부가 불분명하면 신고 전에 상담 창구를 통해 확인하는 것이 안전합니다.
개인정보 유출 통지와 신고
개인정보 보호법은 개인정보처리자가 개인정보 유출을 알게 되었을 때 정보주체에게 유출 항목, 시점과 경위, 피해 최소화 방법, 대응 조치, 피해 구제 절차, 담당 부서와 연락처 등을 알리도록 정하고 있습니다. 또한 일정 기준에 해당하는 유출은 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 하며, 기준에 해당하면 유출을 알게 된 때부터 72시간 이내에 신고해야 합니다. 개인정보보호위원회의 유출신고 안내(개인정보 보호법 시행령 제40조)에서 정한 신고 기준은 다음과 같습니다.
- 1천 명 이상 정보주체의 개인정보가 유출된 경우
- 민감정보 또는 고유식별정보가 유출된 경우
- 외부로부터의 불법적인 접근(해킹 등)으로 개인정보가 유출된 경우(인원수와 관계없음)
해킹으로 인한 유출은 인원이 적어도 신고 대상입니다. 신고는 개인정보보호위원회가 운영하는 개인정보 유출 신고 서비스로 접수할 수 있으며, 접수 전에 유출 항목, 유출 시점, 대응 조치 내용을 정리해 둡니다.
복구 후 재발을 막으려면 무엇을 점검해야 합니까?
백업으로 화면만 되돌리면 같은 취약점으로 다시 침입당할 가능성이 큽니다. 복구는 침입 경로를 제거한 뒤 깨끗한 환경에서 다시 구축하는 것을 원칙으로 합니다. 다음 항목을 순서대로 점검합니다.
- 침입 경로 제거: 게시판 파일 업로드, 오래된 관리 도구, 패치되지 않은 플러그인처럼 원인으로 추정되는 지점을 수정하거나 제거합니다.
- 백업 검증: 침해 시점 이전에 만든 백업인지 확인하고, 복원 후 웹셸 같은 악성 파일이 남아 있는지 다시 검사합니다.
- 계정 정리: 퇴사자·외주 인력 계정을 삭제하고, 관리자 페이지에는 접속 IP 제한과 2단계 인증을 적용합니다.
- 업데이트 체계: 운영체제, 웹 서버, 콘텐츠 관리 도구, 플러그인의 보안 업데이트 담당자와 점검 주기를 정합니다.
- 모니터링: 파일 변경 감지, 관리자 로그인 알림, 로그 보관 기간 연장을 설정해 다음 침해를 더 빨리 알아챌 수 있게 합니다.
사고가 끝나면 원인, 조치 내역, 신고 여부와 판단 근거를 사후 보고서로 남깁니다. 이 기록은 경영진 보고와 감독기관 문의 대응에 쓰이고, 다음 보안 예산과 외주 계약 조건을 정하는 근거가 됩니다. 외주로 홈페이지를 운영한다면 계약서에 사고 발생 시 통보 의무, 로그 제공 범위, 대응 지원 조건을 명시해 두는 것이 좋습니다.
자주 묻는 질문
개인정보가 실제로 빠져나갔는지 확실하지 않아도 신고해야 합니까?
외부에서 접근한 흔적이 있고 개인정보가 저장된 DB의 조회 기록에 이상 요청이 남아 있다면 유출 가능성을 배제하기 어려운 상태입니다. 이 경우 유출을 알게 된 때부터 72시간 이내라는 신고 기한을 계산해, 확인된 내용으로 먼저 신고하고 추가로 확인되는 내용은 보완하는 방안을 검토합니다. 판단 근거와 판단 시각은 기록으로 남겨 둡니다.
홈페이지를 외주 업체가 관리하면 신고 책임도 업체에 있습니까?
개인정보보호위원회 유출신고 안내는 신고 기준의 적용 대상을 개인정보처리자로 정하고 있습니다. 운영을 외주 업체에 맡겼더라도 개인정보를 처리하는 사업자가 신고 기준 해당 여부를 직접 확인하고, 외주 업체와는 원인 분석과 기술 조치 지원 범위를 계약으로 미리 정해 둡니다.
변조된 화면을 바로 원래대로 고쳐도 됩니까?
방문자 피해를 막기 위해 점검 안내 페이지로 전환하는 것은 필요하지만, 변조 파일을 바로 지우는 것은 피해야 합니다. 먼저 화면과 파일, 로그 사본을 확보한 뒤 복구해야 침입 경로를 분석하고 신고 내용을 정확하게 작성할 수 있습니다.