워드프레스 해킹 예방방법｜관리자가 꼭 확인할 보안설정

워드프레스 사이트는 전 세계에서 많이 사용되는 만큼 자동화 공격의 표적이 되기 쉽습니다.

특히 최근에는 AI 에이전트를 이용해 대량의 웹사이트를 자동으로 탐색하는 공격 사례까지 나오면서, 예전보다 업데이트 지연과 약한 관리자 계정이 더 큰 위험이 되고 있습니다.

하지만 워드프레스 보안은 무조건 복잡한 작업부터 시작할 필요는 없습니다.

공식 WordPress 보안 가이드도 가장 먼저

코어·플러그인·테마 최신 상태 유지
강한 비밀번호 사용
2단계 인증
백업
불필요한 플러그인 삭제

같은 기본 조치를 강조합니다.

워드프레스 해킹은 왜 발생할까?

워드프레스 자체가 특별히 약해서라기보다, 실제 사고는 보통 여러 요소가 겹쳐 발생합니다.

대표적으로

• 오래된 플러그인
• 업데이트하지 않은 테마
• 약한 관리자 비밀번호
• 관리자 계정 탈취
• 불필요하게 설치된 플러그인
• 감염된 관리자 PC
• 보안이 약한 호스팅 환경

등이 원인이 될 수 있습니다. WordPress 공식 가이드도 오래된 코어와 플러그인, 취약한 비밀번호, 감염된 관리자 PC 등을 주요 위험요인으로 설명합니다.

가장 먼저 해야 할 일은 업데이트

워드프레스 보안에서 가장 중요한 것은 최신 버전을 유지하는 것입니다.

WordPress 공식 문서는 코어와 플러그인, 테마를 항상 최신 상태로 유지할 것을 권장합니다. 오래된 버전은 이미 공개된 취약점이 남아 있을 수 있기 때문입니다.

확인 경로는 간단합니다.

관리자 화면 → 대시보드 → 업데이트

여기서

• WordPress 코어
• 플러그인
• 테마
• 번역

업데이트 여부를 확인할 수 있습니다.

자동 업데이트를 켜는 게 좋을까?

보안 측면에서는 도움이 됩니다.

WordPress는 플러그인과 테마별로 자동 업데이트를 켜고 끌 수 있습니다.

다만 무조건 모든 것을 자동 업데이트로 돌리는 것보다, 사이트에서 중요한 플러그인이 많다면 백업 체계를 먼저 만들어둔 뒤 자동 업데이트를 적용하는 편이 안전합니다.

공식 문서 역시 업데이트 전에 현재 백업을 확보하는 것을 권장합니다.

사용하지 않는 플러그인은 비활성화만 하지 말고 삭제

오래된 플러그인은 공격자가 가장 먼저 확인하는 지점 중 하나입니다.

특히 사용하지 않는 플러그인을 비활성화만 해두고 계속 보관하면 관리해야 할 공격면이 늘어납니다.

WordPress 공식 보안 가이드는 사용하지 않는 플러그인은 시스템에서 삭제할 것을 권장합니다.

따라서

안 쓰는 플러그인
→ 비활성화
→ 문제없으면 삭제

순서로 정리하는 것이 좋습니다.

출처가 불분명한 플러그인과 테마는 피하자

무료 프리미엄 테마나 크랙 플러그인을 외부 사이트에서 내려받는 경우가 있습니다.

하지만 이런 파일에는 악성코드가 포함될 가능성이 있습니다.

WordPress 공식 문서도 플러그인과 테마는 WordPress.org 저장소 또는 신뢰할 수 있는 개발사에서 받을 것을 권장합니다.

가격을 아끼려다 사이트 전체가 감염되면 복구비용이 훨씬 커질 수 있습니다.

관리자 비밀번호는 강하게 설정

관리자 계정 비밀번호가 단순하면 자동화 공격에 취약합니다.

피해야 할 예시는

• 이름
• 회사명
• 사이트명
• 짧은 숫자 조합
• 사전에 있는 단어
• 다른 사이트와 같은 비밀번호

입니다.

WordPress 공식 가이드도 짧거나 추측하기 쉬운 비밀번호를 피하고 강력한 비밀번호를 사용할 것을 권장합니다.

사이트마다 다른 비밀번호를 써야 한다

같은 비밀번호를 여러 사이트에서 사용하면 한 곳이 유출됐을 때 다른 사이트까지 위험해집니다.

예를 들어 이메일 계정과 워드프레스 관리자 계정의 비밀번호가 같으면, 이메일이 털렸을 때 관리자 계정까지 연쇄적으로 노출될 수 있습니다.

따라서 사이트별로 다른 비밀번호를 사용하고, 필요하다면 비밀번호 관리도구를 활용하는 것이 좋습니다.

2단계 인증은 꼭 켜는 것이 좋다

비밀번호가 유출돼도 공격자가 바로 로그인하지 못하도록 하는 가장 효과적인 방법 중 하나가 2단계 인증(2FA) 입니다.

WordPress 공식 가이드 역시 강한 비밀번호에 더해 2단계 인증을 사용하는 것을 권장합니다.

WordPress.org에는 공식 Two Factor 플러그인도 있으며, 인증 앱 기반 TOTP 방식을 지원합니다.

관리자 계정에는 2단계 인증을 우선 적용하는 것이 좋습니다.

관리자 계정은 최소화

사이트 관리자가 여러 명이라면 권한을 꼭 구분해야 합니다.

글만 작성하는 사람에게 관리자 권한을 줄 필요는 없습니다.

가능하면

• 관리자
• 편집자
• 작성자

권한을 나눠서 사용해야 합니다.

계정 하나가 탈취되더라도 피해 범위를 줄일 수 있습니다.

wp-admin 보안도 중요하다

워드프레스 관리자 화면은 기본적으로

/wp-admin/

경로를 사용합니다.

WordPress 공식 보안 가이드는 필요하면 서버 수준에서 /wp-admin/에 추가 인증을 거는 방식도 소개하고 있습니다.

다만 서버 설정을 잘못하면 admin-ajax.php 같은 기능이 막혀 사이트 일부가 정상 작동하지 않을 수 있습니다.

따라서 단순히 인터넷에서 복사한 코드를 넣기보다 호스팅 환경에 맞게 적용해야 합니다.

HTTPS는 기본

관리자 로그인과 데이터 전송은 HTTPS를 사용하는 것이 좋습니다.

SSL이 없으면 네트워크 구간에서 로그인 정보가 노출될 위험이 커질 수 있습니다.

WordPress 공식 가이드도 관리자 영역을 SSL로 보호하는 것을 권장합니다.

주소창이

http://

가 아니라

https://

로 접속되는지 확인해야 합니다.

관리자 화면에서 파일편집 기능을 막는 방법

워드프레스는 관리자 화면에서 테마와 플러그인 PHP 파일을 수정할 수 있습니다.

문제는 관리자 계정이 탈취됐을 때 공격자가 이 기능을 이용해 악성코드를 삽입할 수 있다는 점입니다.

WordPress 공식 문서는 wp-config.php에

DISALLOW_FILE_EDIT

설정을 추가해 관리자 화면의 파일편집 기능을 비활성화하는 방법을 안내합니다.

다만 서버 설정을 직접 수정해야 하므로, 익숙하지 않다면 먼저 전체 백업을 한 뒤 진행하는 것이 안전합니다.

wp-config.php도 보호해야 한다

wp-config.php에는 데이터베이스 접속정보 등 중요한 설정이 들어 있습니다.

따라서 외부에서 직접 접근되지 않도록 보호하는 것이 중요합니다.

WordPress 공식 문서는 파일 권한을 제한하고, 필요하면 웹서버 설정을 이용해 wp-config.php 접근을 차단하는 방법을 안내합니다.

다만 서버 종류가 Apache인지 Nginx인지에 따라 방법이 다를 수 있으므로 설정을 무작정 복사해서 적용하면 안 됩니다.

백업은 해킹 예방보다 복구를 위한 핵심

완벽하게 해킹을 막는 시스템은 없습니다.

WordPress 공식 문서 역시 보안을 위험을 완전히 제거하는 것이 아니라 줄이는 것으로 설명합니다.

그래서 중요한 것이 백업입니다.

최소한

• 데이터베이스
• 업로드 파일
• 테마
• 플러그인
• 설정파일

을 정기적으로 백업해야 합니다.

가능하면 백업 파일을 사이트 서버와 같은 곳에만 두지 않는 것이 좋습니다.

백업이 제대로 되는지도 확인해야 한다

백업 플러그인을 설치했다고 끝이 아닙니다.

실제로

• 최근 백업 날짜
• 파일 크기
• 복원 가능한지
• 외부 저장소에 정상 업로드됐는지

를 확인해야 합니다.

가장 위험한 상황은 백업이 되고 있다고 생각했는데 실제로는 몇 달 전부터 실패하고 있던 경우입니다.

WAF를 사용하는 것도 도움이 된다

WAF는 Web Application Firewall의 약자입니다.

웹사이트에 들어오는 요청을 먼저 확인해 악성 요청을 차단하는 역할을 합니다.

WordPress 공식 보안 가이드도

• 서버형 WAF
• WordPress 보안 플러그인
• 외부 프록시형 웹방화벽

등을 추가 보안수단으로 소개하고 있습니다.

다만 WAF가 있다고 업데이트를 안 해도 되는 것은 아닙니다.

보안 플러그인을 여러 개 설치하면 더 안전할까?

반드시 그렇지는 않습니다.

보안 플러그인을 너무 많이 설치하면

• 기능 충돌
• 서버 부하
• 중복 차단
• 로그인 오류

가 발생할 수 있습니다.

한두 개의 신뢰할 수 있는 보안 도구를 정하고, 기본 보안관리를 제대로 하는 편이 낫습니다.

관리자 PC도 안전해야 한다

사이트만 안전하게 관리해도 관리자 PC에 악성코드가 있으면 문제가 생길 수 있습니다.

WordPress 공식 가이드도 관리자 컴퓨터에 키로거나 악성코드가 있으면 서버 보안이 아무리 강해도 위험할 수 있다고 경고합니다.

따라서 관리자 PC도

• Windows 업데이트
• 브라우저 업데이트
• 백신
• 의심스러운 프로그램 제거

등을 꾸준히 관리해야 합니다.

사이트 상태에 이상이 없는지 주기적으로 확인

평소와 다른 현상이 나타나면 보안 이상 신호일 수 있습니다.

예를 들어

• 관리자 계정이 갑자기 늘어남
• 모르는 플러그인 설치
• 광고 페이지로 리디렉션
• 검색 결과에 이상한 페이지 노출
• 서버 사용량 급증
• 알 수 없는 파일 생성

같은 현상이 있으면 확인이 필요합니다.

관리자 계정 목록도 가끔 확인하자

관리자 화면에서

사용자 → 모든 사용자

로 들어가 관리자 권한을 가진 계정을 확인합니다.

사용하지 않는 관리자 계정이나 기억나지 않는 계정이 있다면 바로 점검해야 합니다.

특히 외주업체나 이전 개발자에게 준 관리자 계정이 계속 남아 있는 경우도 많습니다.

로그인 기록도 확인하면 좋다

보안 플러그인이나 호스팅 로그를 이용하면

• 로그인 실패
• 관리자 접속 IP
• 비정상 접근
• 반복적인 로그인 시도

등을 확인할 수 있습니다.

짧은 시간에 많은 로그인 시도가 발생하면 자동화 공격일 가능성이 있습니다.

XML-RPC는 무조건 꺼야 할까?

인터넷에서는 워드프레스 보안을 위해 XML-RPC를 무조건 차단하라는 글이 많습니다.

하지만 XML-RPC를 사용하는 기능이나 외부 서비스가 있을 수 있기 때문에 모든 사이트에서 무조건 차단하는 것이 정답은 아닙니다.

사용 중인 서비스가 없다면 제한을 검토할 수 있지만, 기능을 확인한 뒤 결정하는 것이 좋습니다.

로그인 주소를 바꾸면 해킹을 막을 수 있을까?

로그인 URL 변경은 자동화 봇의 단순 공격을 줄이는 데 일부 도움이 될 수 있습니다.

하지만 이것만으로 강력한 보안이 되는 것은 아닙니다.

WordPress 공식 보안 문서도 보안에서 단순히 정보를 숨기는 방식만 의존하는 것은 충분하지 않다고 설명합니다.

따라서 로그인 주소 변경보다

업데이트
2FA
강한 비밀번호
백업

이 우선입니다.

워드프레스 해킹 예방 우선순위

복잡하게 생각하지 말고 아래 순서로 점검하면 됩니다.

1순위

WordPress 코어·플러그인·테마 업데이트

2순위

관리자 비밀번호 변경 + 2단계 인증

3순위

사용하지 않는 플러그인·테마 삭제

4순위

정기 백업 확인

5순위

관리자 계정 목록 확인

6순위

HTTPS와 서버 보안 확인

7순위

WAF·보안 플러그인 추가 검토

지금 당장 확인할 관리자 체크리스트

워드프레스 관리자라면 아래 항목부터 확인해보면 됩니다.

• 코어 최신 버전인가?
• 업데이트가 밀린 플러그인이 있는가?
• 사용하지 않는 플러그인이 남아 있는가?
• 관리자 비밀번호가 다른 사이트와 같은가?
• 2단계 인증을 켰는가?
• 모르는 관리자 계정이 있는가?
• 최근 백업이 정상적으로 완료됐는가?
• HTTPS가 정상 작동하는가?
• 사이트가 이상한 주소로 리디렉션되지 않는가?
• 관리자 PC와 브라우저는 최신 상태인가?

업데이트 전에 백업부터 해야 할까?

사이트가 중요한 경우에는 그렇습니다.

WordPress 공식 플러그인 관리 문서도 플러그인을 업데이트하기 전에 현재 백업을 확보하라고 안내합니다.

특히

• 테마 커스텀 코드가 많거나
• 플러그인이 많거나
• WooCommerce처럼 기능이 복잡하거나
• 직접 PHP를 수정한 사이트

라면 백업 후 업데이트하는 편이 안전합니다.

자동 업데이트는 무조건 위험한가?

그렇지도 않습니다.

보안 업데이트가 늦어지는 것 자체가 더 큰 위험이 될 수 있습니다.

WordPress.org는 플러그인·테마 자동 업데이트 기능을 제공하고 있으며, 최신 버전을 유지하는 것이 사이트 보안에 중요하다고 안내합니다.

따라서 중요도가 낮고 안정성이 확인된 플러그인은 자동 업데이트를 활용하고, 핵심 플러그인은 백업과 함께 직접 관리하는 식으로 나눠도 됩니다.

2026년에는 플러그인 보안검사도 강화됐다

WordPress.org는 2026년부터 플러그인 릴리스에 대해 자동 보안검사 절차를 강화했습니다.

새 플러그인 버전은 업데이트 API에 배포되기 전에 일정한 대기시간을 거치며, 여러 AI 모델과 Jetpack Scan을 이용해 잠재적인 보안위험을 분석하는 절차가 적용되고 있습니다.

다만 이런 검사가 있다고 해서 모든 취약점이 자동으로 차단되는 것은 아니므로 사이트 운영자의 업데이트와 관리도 여전히 필요합니다.

이미 해킹이 의심된다면 먼저 무엇을 해야 할까?

사이트가 이미 침해된 것 같다면 단순히 플러그인 업데이트만 하지 말고

• 전체 백업 확보
• 관리자 비밀번호 변경
• 관리자 계정 확인
• 의심스러운 플러그인 확인
• 서버 로그 확인
• 호스팅 업체 문의

를 함께 진행하는 것이 좋습니다.

특히 피해가 크거나 악성코드가 반복해서 생성된다면 보안전문가의 점검을 받는 편이 안전합니다.

워드프레스 보안 핵심 정리

워드프레스 해킹 예방에서 가장 중요한 것은 화려한 보안기능이 아닙니다.

기본은

최신 업데이트
강한 비밀번호
2단계 인증
불필요한 플러그인 삭제
정기 백업

입니다. WordPress 공식 보안 가이드 역시 이 기본 원칙을 반복해서 강조합니다.

여기에 사이트 규모에 따라

WAF
관리자 페이지 추가 보호
파일편집 제한
로그 모니터링

등을 추가할 수 있습니다.

특히 최근처럼 AI를 이용한 자동화 공격이 늘어날수록 공개된 취약점을 방치하는 시간 자체가 위험해질 수 있습니다.

따라서 워드프레스 관리자는

“문제가 생기면 업데이트한다”

보다

“문제가 생기기 전에 업데이트하고 백업한다”

는 방식으로 관리하는 것이 중요합니다.

함께 보면 좋은 글

• AI 해킹 어디까지 가능할까? AI 에이전트로 100개 넘는 기업 사이트가 뚫린 이유
• 워드프레스 플러그인 업데이트 꼭 해야 할까?
• 워드프레스 백업하는 방법｜파일·DB 모두 보관하기
• 워드프레스 2단계 인증 설정방법
• 워드프레스 관리자 계정 보안 점검방법

※ 이 글은 2026년 10월 19일 기준 WordPress.org 공식 보안·관리 문서를 바탕으로 작성했습니다.

※ 서버 설정과 wp-config.php, .htaccess 수정은 호스팅 환경에 따라 방법이 달라질 수 있으므로 작업 전 반드시 백업하는 것이 좋습니다.

※ 보안 플러그인 하나만 설치한다고 모든 공격을 막을 수 있는 것은 아니며, 업데이트·계정관리·백업을 함께 유지하는 것이 중요합니다.