"우리처럼 작은 회사를 누가 공격하겠어요." 상담하면서 가장 자주 듣는 말입니다. 그런데 숫자는 반대로 나옵니다. 피해 기업 열 곳 중 여덟 곳이 중소기업입니다.
이 글에서는 최근 발표된 침해사고 통계를 함께 읽습니다. 그리고 홈페이지를 가진 사장님이 오늘 확인할 네 가지를 정리했습니다.
중소기업 해킹 피해가 81%인 이유는 뭔가요?
공격자가 노리는 건 기술이 아니라 관리가 느슨한 계정이기 때문입니다.
한국인터넷진흥원 자료를 정리한 보안뉴스 보도에 따르면, 2021년부터 2026년 6월까지 신고된 침해사고는 8,565건입니다. 이 가운데 중소기업이 6,991건으로 81.6%를 차지했습니다.
대기업은 310건이었습니다.
대기업은 보안 담당자가 따로 있습니다. 작은 회사는 사장님이 홈페이지, 결제, 계정을 모두 맡습니다.
공격자 입장에서는 들이는 품이 적습니다. 그래서 규모가 작은 곳이 먼저 표적이 됩니다.
한 줄 정리: 작아서 안전한 게 아니라, 작아서 먼저 노려집니다.
한눈에 보기: 6년간 침해사고 숫자
신고 건수는 2021년 이후 해마다 늘고 있습니다.
| 구분 | 건수 | 참고 |
|---|---|---|
| 2021년 | 640건 | 집계 시작 시점 |
| 2022년 | 1,142건 | 1년 만에 약 1.8배 |
| 2023년 | 1,277건 | 증가세 유지 |
| 2024년 | 1,887건 | 시스템 해킹 비중 확대 |
| 2025년 | 2,383건 | 6년 중 가장 많음 |
| 2026년 상반기 | 1,236건 | 반년 기준 수치 |
유형별로는 시스템 해킹이 5,196건으로 가장 많았습니다. 그다음이 디도스 1,704건, 악성코드 감염·유포 1,665건입니다.
자주 나오는 말은 아래처럼 풀어서 보시면 됩니다.
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 침해사고 | 해킹·감염으로 시스템이 피해를 본 일 | 가게에 도둑이 든 사건 |
| 시스템 해킹 | 계정이나 허점을 통해 내부에 들어오는 것 | 열쇠를 구해 문으로 들어오는 것 |
| 디도스 | 접속을 한꺼번에 몰아 사이트를 멈추게 하는 공격 | 가게 입구를 사람으로 막아 버리는 것 |
| 플러그인 | 기능을 덧붙이는 작은 프로그램 | 가게에 들여놓은 추가 기계 |
눈여겨볼 숫자가 하나 더 있습니다. 시스템 해킹을 두 번 신고한 기업이 468곳, 세 번 신고한 기업이 98곳입니다.
한 번 뚫린 곳이 또 뚫린다는 뜻입니다. 원인을 못 찾고 복구만 했기 때문입니다.
한 줄 정리: 복구만 하고 원인을 안 막으면 같은 자리로 다시 들어옵니다.
그래서 우리 가게에는?
홈페이지를 가진 가게라면 통로는 대부분 계정 하나입니다.
통계에 나오는 "시스템 해킹"은 어려운 말처럼 들립니다. 현장에서는 대개 이런 모습입니다.
예를 들어, 직원 4명인 동네 학원이 홈페이지로 상담 신청을 받는다고 해 봅시다. 관리자 계정 하나를 원장님, 실장님, 제작 맡긴 업체가 같이 씁니다.
비밀번호는 학원 전화번호 뒷자리입니다. 3년 전 만든 뒤 한 번도 바꾸지 않았습니다.
누군가 그 비밀번호를 알아내면 상담 신청자 명단이 통째로 빠져나갑니다. 서버를 뚫은 게 아니라 문으로 걸어 들어온 셈입니다.
작은 가게가 먼저 볼 곳은 방화벽이 아닙니다. 계정, 업데이트, 백업, 신고 절차 네 가지입니다.
한 줄 정리: 우리 가게에서 가장 약한 곳은 서버가 아니라 같이 쓰는 계정 하나입니다.
점검 1. 관리자 계정을 지금 누가 들고 있나요?
계정 목록을 종이에 적어 보는 것부터 시작하세요.
관리자 페이지에서 계정 목록을 열고 이름, 마지막 접속일, 권한을 적습니다. 여기서 세 가지를 확인합니다.
- 퇴사한 직원 계정이 남아 있는지 봅니다.
- 1년 넘게 접속 기록이 없는 계정을 찾습니다.
- 사장님 말고 누가 "전체 권한"을 갖고 있는지 확인합니다.
쓰지 않는 계정은 지우거나 접속만 막아 둡니다.
비밀번호는 사람마다 다르게 씁니다. 같은 비밀번호를 여러 곳에 쓰면 한 곳이 털릴 때 전부 열립니다.
한 줄 정리: 안 쓰는 계정 하나를 지우는 게 보안 장비를 사는 것보다 먼저입니다.
점검 2. 외주 업체와 쓰는 계정은 따로 만드세요
같이 쓰는 계정은 사고가 나도 누가 했는지 알 수 없습니다.
홈페이지 제작사, 광고 대행사, 배송 업체가 같은 계정을 쓰는 경우가 많습니다.
문제는 두 가지입니다. 첫째, 계약이 끝나도 계정이 살아 있습니다. 둘째, 기록이 남지 않아 원인을 못 찾습니다.
업체마다 계정을 따로 만들고 필요한 권한만 주세요. 게시글만 올리는 업체에 결제 내역 권한까지 줄 이유는 없습니다.
계약이 끝나는 날을 달력에 적어 두고 그날 계정을 잠그세요.
예를 들어, 상세페이지만 맡긴 업체라면 상품 등록 권한만 주고 회원 정보는 막아 둡니다.
한 줄 정리: 계정을 나눠 두면 사고가 나도 어디서 시작됐는지 30분 안에 찾을 수 있습니다.
점검 3. 워드프레스 플러그인 업데이트, 누가 책임지나요?
업데이트는 담당자를 정하지 않으면 아무도 하지 않습니다.
워드프레스처럼 플러그인을 더해 쓰는 구조라면 업데이트 주기를 정해 두는 편이 좋습니다. 플러그인은 기능을 덧붙이는 작은 프로그램입니다.
직접 만든 홈페이지도 마찬가지입니다. 서버 프로그램과 결제 모듈에도 보안 업데이트가 나옵니다.
KISA 보호나라의 보안공지 게시판에는 제품별 보안 업데이트 권고가 계속 올라옵니다. 매달 한 번만 들어가 확인해도 충분합니다.
중요한 건 사람입니다. 업데이트를 사장님이 할지 제작사가 할지 계약서에 적어 두세요.
잇다웹의 유지보수 안내처럼, 어디까지가 유지보수 범위인지 미리 확인해 두시면 나중에 다툴 일이 줄어듭니다.
한 줄 정리: 업데이트는 기술 문제가 아니라 "누가 하느냐"를 정하는 문제입니다.
점검 4. 사고가 나면 어디에 먼저 신고하나요?
한국인터넷진흥원 118로 신고하는 것이 먼저입니다.
사고가 나면 감추고 싶어집니다. 하지만 신고해야 기술 지원을 받을 수 있습니다.
앞서 본 통계에서 같은 기업이 두 번, 세 번 신고한 사례가 나온 이유가 여기 있습니다. 원인을 못 찾은 채 복구만 하면 같은 방법으로 다시 들어옵니다.
사고가 의심되면 이 순서로 움직이세요.
- 홈페이지를 잠시 내리고 관리자 비밀번호를 모두 바꿉니다.
- 접속 기록과 화면을 사진으로 남깁니다.
- KISA 118로 신고하고 안내를 받습니다.
- 개인정보가 새어 나갔다면 이용자에게 알리고 관계 기관에 신고합니다.
- 원인을 찾은 뒤에 복구합니다.
오늘 할 수 있는 체크리스트입니다.
- [ ] 관리자 계정 목록을 열어 종이에 적기
- [ ] 1년 넘게 접속 없는 계정 잠그기
- [ ] 외주 업체 계정을 사람별로 나누기
- [ ] 업데이트 담당자를 한 사람으로 정하기
- [ ] 백업이 언제 마지막으로 됐는지 확인하기
- [ ] 사고 신고 연락처를 사무실에 붙여 두기
한 줄 정리: 신고는 손해가 아니라 같은 사고를 막는 가장 빠른 방법입니다.
자주 묻는 질문
직원이 세 명인데도 보안 점검이 필요한가요?
필요합니다. 신고된 침해사고의 81.6%가 중소기업에서 나왔습니다. 직원 수가 적을수록 계정 하나를 여러 명이 함께 쓰기 때문에 위험이 오히려 큽니다. 오늘은 계정 목록 확인 한 가지만 하셔도 됩니다.
홈페이지가 해킹당했는지 어떻게 알 수 있나요?
평소와 다른 점 세 가지를 보세요. 만든 적 없는 페이지가 생겼는지, 관리자 접속 기록에 모르는 시간대가 있는지 봅니다. 방문자에게 이상한 광고가 뜬다는 연락이 오는지도 확인합니다. 하나라도 있으면 비밀번호부터 바꾸고 KISA 118로 문의하세요.
백업은 얼마나 자주 해 두어야 하나요?
글이나 상품이 자주 바뀌면 하루 한 번, 거의 바뀌지 않으면 주 1회로도 충분합니다. 중요한 건 주기보다 복구 연습입니다. 1년에 한 번은 백업 파일로 실제 복구가 되는지 확인해 보세요.
유지보수를 맡기면 보안까지 포함되나요?
계약 범위에 따라 다릅니다. 업데이트와 백업이 포함되는지, 사고가 났을 때 대응까지 들어가는지 계약서에서 확인하세요. 범위를 먼저 정리하고 싶다면 무료 견적 상담에서 지금 홈페이지 구조를 보고 필요한 항목을 함께 정리해 드립니다.
사진: Unsplash