해커 봇들이 매일 문 두드린다면? 워드프레스 로그인 주소 변경 및 2FA 보안 강화 후기

워드프레스를 개설하고 몇 달 동안 글을 열심히 쓰다 보면 어느 순간 보안 플러그인 리포트에 기이한 기록들이 찍히기 시작합니다.

제 블로그 관리자 알림에도 해외 IP로 무장한 해커 봇들이 로그인 페이지를 수천 번씩 무작로 두드리며 비밀번호를 맞추려고 시도한 ‘무차별 대입 공격(Brute Force Attack)’ 흔적이 빽빽하게 남아있었습니다.

아이디와 비밀번호를 아무리 길게 설정해 두었다고 해도, 누군가 제 집 문고리를 밤낮없이 흔들어대고 있다는 사실을 눈으로 확인하니 가슴이 철렁 내려앉고 소름이 돋더군요. 구글 애드센스 승인을 준비하며 공들여 키운 내 블로그가 하루아침에 해킹이라도 당하면 그동안의 노력이 통째로 날아가는 셈이니까요.

더 이상 방치해서는 안 되겠다는 생각에 당장 문고리 자체를 숨기고 2중 잠금장치까지 걸어 잠갔습니다. 저처럼 해외 해커 봇들의 무차별 로그인 시도로 식은땀 흘리고 계실 분들을 위해, 제가 직접 적용한 로그인 URL 변경과 2단계 인증(2FA) 설정 과정을 공유해 봅니다.

해커 봇들은 왜 내 블로그 로그인 창을 노릴까?

이유는 허무할 정도로 간단합니다. 워드프레스는 전 세계 웹사이트의 상당수를 차지하다 보니, 기본 로그인 주소가 모두 똑같이 설정되어 있기 때문입니다.

• 노출된 기본 로그인 주소: 워드프레스를 설치하면 기본적으로 내도메인/wp-login.php 또는 내도메인/wp-admin이라는 주소로 로그인 창이 만들어집니다. 해커 봇들은 이 공통 주소를 노리고 무차별 공격 프로그램을 돌리는 것이죠.
  
• 서버 자원 낭비 및 접속 지연: 해커가 실제로 비번을 맞추지 못하더라도, 봇들이 로그인 페이지를 초당 수십 번씩 요청하는 과정에서 서버 CPU와 메모리를 순식간에 갉아먹게 됩니다. 이로 인해 정작 블로그 방문자들의 접속 속도가 느려지는 악순환이 발생합니다.

결국 보안의 핵심은 누구나 아는 로그인 문 위치 자체를 숨기고, 문을 열더라도 추가 열쇠를 요구하게 만드는 것이었습니다.

첫 번째 방어선: 로그인 주소(URL) 변경하기

가장 먼저 해커 봇들이 들어오는 입구 자체를 다른 주소로 감춰버리는 작업을 진행했습니다.

• WPS Hide Login 플러그인 활용: 가장 가볍고 안전하게 로그인 주소를 바꿀 수 있는 전용 플러그인을 설치했습니다.
  
• 나만의 비밀 주소 지정: 기본 주소인 wp-login.php 대신 자신만 알아볼 수 있는 임의의 영문 단어나 숫자 조합으로 로그인 경로를 완전히 변경했습니다.
  
• 주소 변경 결과 확인: 변경 후 기존의 wp-admin이나 wp-login.php로 접속해 보니 404 에러 페이지가 뜨며 접속이 완전히 차단되었습니다. 봇들이 문 위치를 찾지 못하고 그 자리에서 튕겨 나가게 만든 것이죠.

두 번째 방어선: 2단계 인증(2FA)으로 철벽 방어하기

로그인 주소를 바꿔두었더라도 만에 하나 주소가 유출될 상황에 대비해 스마트폰을 활용한 2단계 인증(2FA)까지 이중으로 설치했습니다.

• Two Factor Authentication 플러그인 설치: 워드프레스 관리자 페이지에서 2단계 인증 전용 플러그인을 활성화했습니다.
  
• 구글 OTP(Google Authenticator) 연동: 스마트폰 앱(Google Authenticator)을 열어 화면에 떠 있는 QR 코드를 스캔해 연동을 마쳤습니다.
  
• 실제 로그인 작동 확인: 이제 비밀번호를 맞아도 스마트폰 앱에 뜨는 6자리 일회용 번호를 입력해야만 로그인에 성공합니다. 설령 비밀번호가 해커에게 유출된다 하더라도 스마트폰을 직접 쥐고 있지 않은 이상 절대로 들어올 수 없는 철통 보안 시스템이 완성되었습니다.

직접 겪고 깨달은 보안 강화 팁

• 바꾼 로그인 주소는 꼭 다른 곳에 기록해 둘 것: 로그인 주소를 복잡하게 바꿔두고 본인마저 잊어버리면 관리자 페이지에 접속하지 못해 당황하는 불상사가 생깁니다. 반드시 비상용 메모장에 저장해 두어야 합니다.
  
• 백업 코드는 다운로드해 두기: 2FA 설정 시 제공되는 비상 백업 코드는 스마트폰을 분실하거나 교체했을 때 유일한 구원줄이 되므로 안전한 곳에 보관해 두는 것이 좋습니다.

해커 봇들이 밤낮없이 로그인 창을 두드리는 것을 방치하면 사이트 안정성은 물론이고 애드센스 승인 심사에도 악영향을 줄 수 있습니다.

방법이 전혀 어렵지 않고 10분 정도만 투자하면 내 블로그를 해킹 위협으로부터 완벽하게 지킬 수 있으니, 당황하지 마시고 오늘 당장 로그인 주소 변경과 2FA 설정을 완료해 보시길 강력히 추천합니다!