무슨 일이 일어났나
지난주인 10월 17~19일경, 워드프레스의 인기 백업 플러그인 UpdraftPlus를 개발하는 TeamUpdraft의 웹사이트가 해킹당했습니다. 공격자들이 고객 데이터베이스에 접근하면서 이름, 이메일, 청구 주소, 주문 기록과 함께 원격 관리용 연결 키들이 노출되었습니다.
UpdraftPlus는 워드프레스 사이트 400만 개 이상이 설치한 플러그인입니다. 혼자만의 문제가 아닐 가능성이 있습니다.
핵심 위험 — "원격 키"가 탈취됨
TeamUpdraft의 UpdraftCentral을 쓰면 여러 워드프레스 사이트를 한곳에서 모니터링하고 관리할 수 있습니다. 이 서비스를 쓰려면 연결 키(connection key)가 필요한데, 이것이 이번 해킹 과정에서 탈취되었습니다.
왜 문제일까요? 이 키를 가진 사람은 당신의 워드프레스 사이트에 원격으로 명령을 내릴 수 있기 때문입니다. 백도어를 숨기거나, 관리자 계정을 만들거나, 악의적 코드를 주입할 수 있다는 뜻입니다.
더 골치 아픈 점은, 아직 그런 일이 일어났는지를 일반 워드프레스 관리자 대시보드에서 쉽게 알아차리기 어렵다는 것입니다.
이번 해킹으로 노출된 정보는:
- 고객 이름, 이메일, 청구 주소, 주문 내역
- 비밀번호 (해시 처리된, 되돌리기 어려운 형태로 저장)
- 2단계 인증 설정 정보
- UpdraftCentral, UpdraftVault, UpdraftClone 연결 키
신용카드 정보는 Stripe과 PayPal에서 별도 관리되므로 직접 노출되지 않았습니다.
내 사이트도 위험한가
다음 중 하나라도 해당된다면 점검하세요.
1. UpdraftPlus 플러그인을 설치하고 있다
- 워드프레스 대시보드 > 플러그인 > 설치된 플러그인에서 "UpdraftPlus"를 찾으세요
- 설치되어 있다면 계속 읽으세요
2. UpdraftCentral로 여러 사이트를 원격 관리한다
- TeamUpdraft의 클라우드 버전(UpdraftCentral cloud)을 쓰신다면 특히 주의하세요
- 자체 호스팅 버전(self-hosted UpdraftCentral)이라면 영향이 상대적으로 적습니다
3. teamupdraft.com 계정이 있다
- 그곳에 가입한 계정이 있다면 점검하세요
지금 할 일
1단계: TeamUpdraft 계정 보호 (가장 먼저)
- TeamUpdraft 계정이 있다면 비밀번호를 바꾸세요
- 다른 사이트에 같은 비밀번호를 썼다면 그곳도 바꾸세요
- 2단계 인증을 켜세요
2단계: UpdraftPlus 즉시 업데이트
- UpdraftPlus를 최신 버전(1.26.13 이상 또는 2.26.13 이상)으로 업데이트하세요
- 2026년 10월 18일 오후 10시(영국 시간) 이전의 UpdraftCentral 연결이 자동으로 끊깁니다
- 이것만 해도 오래된 탈취 키의 작동을 막을 수 있습니다
3단계: UpdraftCentral 재인증
UpdraftCentral을 사용 중이라면:
- 워드프레스 대시보드에 직접 로그인하세요 (UpdraftCentral 경유가 아님)
- Settings > UpdraftPlus > Advanced Tools > UpdraftCentral로 갑니다
- 기존 연결 키를 삭제합니다
- 필요할 경우 새로 연결하세요
4단계: 원격 저장소 접근 권한 재설정
- Google Drive, Dropbox, AWS S3 등 원격 저장소 접근 권한을 새로 허용합니다
- 해당 저장소의 접근 키도 바꾸세요
5단계: 관리자 계정 정찰
- 워드프레스 대시보드 > 사용자 > 관리자 권한을 확인합니다
- 당신이 만들지 않은 관리자 계정이 있으면 즉시 삭제하세요
- 최근 댓글이나 활동 로그도 한 번 훑어보세요
모의해킹으로 무엇을 확인할 수 있나
조치한 뒤에도 불안하다면 웹 모의해킹으로 밖에서 보이는 위험을 점검해 볼 수 있습니다. 다만 우리가 하는 일과 하지 못하는 일을 솔직히 나눠 말씀드리겠습니다.
우리가 하는 것 — 외부 점검
우리 진단은 사이트 바깥에서 공격자와 같은 눈높이로 들여다보는 방식입니다.
- 알려진 취약 플러그인·테마·버전을 찾아냅니다. 이번 UpdraftPlus처럼 패치 전 버전이 밖으로 드러나 있으면 보고서에 올립니다
- 외부에서 접근 가능한 수상한 경로나 웹셸 흔적을 스캔합니다
- 사용자 계정이 밖으로 열거되는지 확인해, 노출된 관리자 단서를 짚어 드립니다
- 로그인 정보를 주시면 로그인한 상태의 화면까지 점검합니다
우리가 하지 않는 것 — 서버 내부
- 서버 파일시스템을 직접 뒤지거나 데이터베이스·접속 로그를 열어 보는 일은 하지 않습니다. 그건 서버 안에 들어가야 하는 침해사고 포렌식이라, 밖에서 진행하는 웹 모의해킹의 범위를 벗어납니다
- 그래서 "서버 안에 이미 심어진 백도어를 100% 찾아낸다"고는 약속드리지 않습니다. 우리 역할은 밖에서 드러나는 위험을 빠르게 걸러 내는 것입니다
서버 내부까지 확인이 필요하면 호스팅 업체나 서버 관리자와 함께 로그·파일을 점검하는 편이 맞습니다. 웹 모의해킹은 그 전에 "밖에서 보이는 구멍"부터 막아 주는 단계로 생각하시면 됩니다.
이후 지속적 관리
한 번의 조치로 끝나지 않습니다:
- UpdraftPlus 자동 업데이트 켜기 향후 보안 패치를 자동으로 받습니다
- 월 1회 관리자 계정 점검 비정상 계정이 새로 추가되지 않았는지 확인합니다
- 백업 정책 점검 클라우드 백업만 의존하지 말고 온프레미스 백업도 함께 유지합니다
- 파일 변경 모니터링 wp-config.php, .htaccess 같은 핵심 파일의 변경을 감지하는 도구를 고려합니다
마지막 당부
이번 사고는 큰 플러그인의 큰 개발사에서 벌어졌습니다. 개발사도 당할 수 있다는 뜻입니다.
- "백업 플러그인이니까 안전할 거야"라고 생각하지 마세요
- 정기적인 보안 점검은 선택이 아닌 필수입니다
- 작은 의심도 무시하지 마세요. 모르는 관리자 계정, 낯선 플러그인, 이상한 동작이 하나라도 보이면 즉시 조사하세요
출처: https://thehackernews.com/2026/10/attackers-abuse-updraftcentral-keys-to.html
비전솔루션 웹 모의해킹 문의: 📧 [email protected] 🌐 https://www.visionc.co.kr/pentest